Google débranche un botnet de 1,3 million de box Android TV, et pointe le fabricant lui-même

Le Google Threat Intelligence Group attribue l'opération à Videostrong Technology Co., un OEM basé à Shenzhen. Selon GTIG, Videostrong a chargé le backdoor sur ses propres box et revendu l'accès à des affiliés criminels, qui y branchaient ensuite leurs propres modules. Google a rompu ses liens avec le fabricant, révoqué sa licence de production de terminaux Android certifiés avec les applications Google préchargées, et banni l'entreprise et ses futurs affiliés de l'écosystème certifié.

La monétisation suit un catalogue déjà connu : revente de bande passante en proxy résidentiel, fraude publicitaire, exfiltration de données, livraison de contenu vidéo, chargement de backdoors additionnels et installation silencieuse d'applications. Le malware utilisait différents sous-domaines de anyevonline[.]com selon la version d'Android et le type d'appareil, et ses opérateurs faisaient évoluer en continu l'architecture pour échapper à la détection.

Le chiffre de 1,3 million est l'estimation de Google et de ses partenaires. Robert McArdle, directeur de la recherche sur la cybercriminalité chez TrendAI, le confirme : "Our research identified over 1.3 million devices affected by this campaign." C'est le périmètre strict d'XCPE. À côté, Google avance un second chiffre, plus flou : en coupant les domaines de commande et contrôle de plus d'une douzaine de familles de malware qui transitaient par le backdoor XCPE, l'opération aurait aussi coupé l'accès à au moins 10 millions d'appareils compromis supplémentaires, dont beaucoup ne sont pas des terminaux Android. Les deux chiffres ne mesurent pas la même chose et proviennent de la même partie.

Au-delà des box TV, les chercheurs ont trouvé le même code XCPE dans des appareils de télésanté, des machines de karaoké et des systèmes d'affichage dynamique sous Android. Ce sont précisément les catégories de matériel qu'on déploie par dizaines dans des salles d'attente, des halls, des sites distants — et qu'on n'inventorie presque jamais comme des endpoints.

Déjà vu en 2024

Videostrong n'en est pas à son premier contact avec les équipes de Google. GTIG indique que le fabricant a restructuré son malware fin 2024, vraisemblablement en réaction à une précédente action de Google contre le botnet BadBox. BadBox 2.0, que Google avait porté devant un tribunal en 2025, était décrit dans les documents judiciaires comme le plus grand botnet connu de téléviseurs connectés, avec plus de 10 millions d'appareils Android touchés et un montage impliquant selon Google au moins 25 individus ou entités basés en Chine. La plainte citait des modèles précis — X88 Pro 10, T95, MXQ Pro, QPLOVE Q9. Dix-huit mois plus tard, le même type d'acteur revient sous un autre nom de code.

Le consortium réuni autour de l'opération est inhabituellement large : la National Police Agency japonaise, Lumen Technologies, Human Security, Plume, Synthient et TrendAI. Synthient a documenté comment une autre souche, Kimwolf, a infecté des millions de box du jour au lendemain en exploitant une vulnérabilité des services de proxy résidentiel pour se propager à d'autres appareils Android du réseau local. Un chercheur résume l'ampleur : "This is probably the largest operation against backdoored TV boxes that we've seen."

Les infections ont été cartographiées dans plus de 200 pays. En Australie, les chercheurs ont localisé des foyers touchés autour de Sydney, Melbourne, Brisbane, Perth et Adelaide — le genre de granularité géographique qui rappelle que ces box sont posées dans des salons et des bureaux, pas dans des datacenters surveillés.

Le takedown ne nettoie pas les terminaux

Google a obtenu par voie légale la coupure des domaines et serveurs utilisés par Videostrong et ses affiliés. Démanteler l'infrastructure de commande n'efface pas le backdoor présent dans le firmware. Les appareils déjà vendus restent potentiellement compromis, et le code système peut rétablir des canaux vers une nouvelle infrastructure. Pour un terminal dont la porte dérobée est en usine, il n'existe pas de correctif applicatif : le remplacement est la seule remédiation fiable.

Pour une DSI, la ligne de défense se situe en amont du malware. Ces box n'arrivent pas par les canaux d'achat IT officiels — elles entrent via des achats non centralisés, des sites distants, des prestataires qui équipent une salle de réunion ou un écran d'accueil. Elles n'apparaissent dans aucun inventaire, ne reçoivent aucune politique de mise à jour, et parlent au réseau avec les droits système. XCPE ne change pas la nature du risque IoT. Il montre à quel point il s'installe hors du champ de vision des équipes censées le gérer.

Videostrong n'a, à ce stade, pas publié de réponse publique aux accusations de GTIG. Google écrit de son côté, à propos de l'implication du fabricant : "We believe this campaign wasn't an isolated rogue insider or a development oversight."