Google a annoncé début novembre le démantèlement de XCPE, un réseau de machines zombies qui reliait plus de 1,3 million d'appareils, en très grande majorité des boîtiers Android TV bon marché. Ces petits boîtiers que l'on branche sur un téléviseur pour installer ses applications de streaming étaient piratés avant même leur mise en vente.
La particularité de cette affaire tient à l'origine de l'infection. Le logiciel malveillant n'était pas téléchargé par erreur par l'utilisateur. Il était préinstallé en usine, logé dans une partition système du boîtier. Google Threat Intelligence Group attribue cette porte dérobée au fabricant chinois Videostrong Technology, qu'il accuse d'avoir vendu l'accès à ses appareils à des cybercriminels. En représailles, la société a été bannie de la production d'appareils Android certifiés.
Une fois allumés, ces boîtiers rejoignaient discrètement le réseau. Ils servaient de relais, des proxys résidentiels revendus à des tiers via des services comme Honeygain ou GaGaNode, et participaient à de la fraude publicitaire en chargeant des pages invisibles et en cliquant sur des annonces. L'utilisateur, lui, ne voyait rien, hormis parfois une connexion qui rame.
L'opération a été menée avec Lumen, HUMAN Security, Plume, Synthient et la police nationale japonaise. En coupant les serveurs de commande, Google estime avoir neutralisé l'accès à au moins 10 millions d'appareils supplémentaires compromis par d'autres voies. Au-delà des boîtiers TV, les chercheurs ont retrouvé le malware sur des machines de karaoké, des écrans d'affichage et même du matériel de télémédecine.
Pour éviter ces boîtiers douteux, un appareil certifié Google passe par les contrôles de la plateforme :
Google TV Streamer 4K → voir sur AmazonLien affilié Amazon
Le problème, c'est qu'un boîtier infecté le reste. Le code se niche dans la partition système dédiée au fabricant et se réinstalle tout seul si on tente de l'effacer. Autrement dit, une simple réinitialisation ne suffit pas. Pour un appareil déjà compromis, il faut réinstaller un firmware propre, ce qui dépasse la plupart des gens, ou tout bonnement le débrancher d'internet.
Ces boîtiers à quelques dizaines d'euros circulent partout, y compris en France, sur les grandes places de marché en ligne. On les reconnaît souvent à des noms de modèles à rallonge et à une absence totale de marque identifiable. Aucun de ces appareils n'a passé la certification de Google, ce qui explique précisément qu'un fabricant ait pu y glisser ce qu'il voulait.
La règle reste assez simple pour qui veut regarder la télévision connectée tranquille : mieux vaut un appareil certifié Google, reconnu par le service de sécurité Play Protect, qu'un modèle sans marque qui promet mille chaînes pour trois fois rien. Les Chromecast, Google TV Streamer ou autres clés de constructeurs établis coûtent un peu plus cher, mais ils passent, eux, par les contrôles de la plateforme.
Crédit photo : Google
.svg){kind=link}