Google démantèle le botnet XCPE infectant 1,3 million de boîtiers Android TV

Google a annoncé aujourd'hui avoir collaboré avec des partenaires de l'industrie pour démanteler un vaste botnet composé de plus de 1,3 million de boîtiers décodeurs Android TV. L'opération visait les appareils fabriqués par Videostrong Technology Co., qui étaient expédiés avec un malware préinstallé louant secrètement les connexions Internet des utilisateurs. Cette action devrait couper l'accès à plus de 10 millions de systèmes compromis supplémentaires dans diverses catégories d'Internet des objets (IoT).

Ce qui s'est passé

Le Google Threat Intelligence Group (GTIG) a identifié Videostrong Technology Co., un fabricant chinois, comme l'acteur principal derrière ce botnet baptisé « XCPE ». Le nom provient d'un composant central du malware intégré aux appareils. Le GTIG a conclu que Videostrong avait intentionnellement inclus ce logiciel malveillant dans son matériel, permettant à l'entreprise de monétiser cette porte dérobée en vendant l'accès à des affiliés criminels. Ces derniers chargeaient ensuite leurs propres modules de malware sur les appareils infectés sans le consentement ni la connaissance des utilisateurs.

Bien que les boîtiers Android TV constituent la majorité des infections, le malware XCPE a également été découvert dans d'autres produits IoT basés sur Android. Il s'agissait notamment de dispositifs de télémédecine, de machines de karaoké et de systèmes d'affichage numérique. Google a déclaré que, bien qu'il exige de tous les fabricants d'appareils Android de réussir des tests de compatibilité et de sécurité, Videostrong est parvenu à charger son logiciel malveillant dès le premier démarrage de l'appareil. Google a noté qu'il a depuis corrigé la faille spécifique ayant permis ce vecteur d'infection initial.

Pour exécuter le démantèlement, Google a engagé des actions légales pour saisir les domaines et les serveurs utilisés par Videostrong pour contrôler le botnet et distribuer davantage de malwares. Le rapport souligne qu'il ne s'agit pas d'un incident isolé, mais d'une partie intégrante d'un écosystème plus large où les fabricants d'appareils compromettent la confiance des utilisateurs à des fins lucratives. L'ampleur de l'opération est significative, les experts la décrivant comme probablement la plus grande action jamais menée contre des boîtiers TV dotés de portes dérobées.

Fonctionnement

Le botnet XCPE fonctionne en transformant les appareils infectés en nœuds pour des services de proxy résidentiel. Une fois un appareil compromis, il installe un logiciel rendant l'adresse IP de l'utilisateur disponible à la revente. Les services de proxy résidentiel permettent aux clients de louer ces adresses IP pour anonymiser leur trafic web ou usurper leur emplacement géographique. Cette infrastructure est fréquemment utilisée pour la fraude publicitaire, la prise de contrôle de comptes et le scraping massif de contenu pour des projets d'intelligence artificielle.

Le malware téléchargeait des kits de développement logiciel (SDK) provenant de plusieurs fournisseurs de proxys résidentiels directement sur les appareils infectés. Parmi ces fournisseurs figuraient AppSalt (également connu sous le nom de Honeygain), propriété d'Oxylabs, ainsi que NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb et GaGaNode. Certaines de ces entreprises ont récemment fait l'objet d'enquêtes ; par exemple, le FBI a saisi des centaines de domaines associés à NetNut en juillet 2026 en raison de son implication dans un autre botnet appelé Popa.

La distribution de ces appareils infectés reposait souvent sur l'influence des réseaux sociaux. Des marques comme MECOOL et Superbox ont gagné en popularité grâce à des recommandations sur des plateformes telles que TikTok et YouTube, où des influenceurs promouvaient leur capacité à fournir des services de streaming piraté moyennant un paiement unique. Par exemple, MECOOL a connu une hausse des ventes après une mention par la chaîne YouTube Linus Tech Tips en 2023, bien que la chaîne ait ultérieurement mis à jour son contenu pour qualifier le produit d'arnaque et supprimé les liens d'affiliation.

Détails clés

• Plus de 1,3 million de boîtiers décodeurs Android TV ont été confirmés comme faisant partie du botnet XCPE.
• Le démantèlement devrait interrompre l'accès à plus de 10 millions d'appareils IoT compromis supplémentaires.
• Videostrong Technology Co. a été identifié comme le fabricant responsable de la préinstallation du malware.
• Les appareils infectés servaient à soutenir des services de proxy résidentiel, notamment AppSalt, NetNut et Grass.
• Le malware affectait également des dispositifs médicaux basés sur Android, des machines de karaoké et des systèmes d'affichage numérique.
• Google a corrigé la vulnérabilité permettant au malware de se charger lors du démarrage initial de l'appareil.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables d'infrastructure, cet incident souligne les risques inhérents à la chaîne d'approvisionnement du matériel grand public. Lorsque les fabricants compromettent intentionnellement les appareils, cela crée une menace persistante difficile à détecter et à atténuer uniquement du côté logiciel. L'utilisation de ces appareils comme proxys résidentiels signifie que le trafic légitime de vos applications peut être mêlé à des activités frauduleuses, compliquant les efforts de détection de fraude et de surveillance de la sécurité.

De plus, la dépendance aux proxys résidentiels pour le scraping de données IA et la fraude publicitaire met en lumière un défi croissant pour les services numériques. Alors que les projets d'IA nécessitent d'énormes volumes de données, la demande d'accès anonymisé au niveau résidentiel augmente. Cela stimule le marché des botnets comme XCPE, créant une boucle de rétroaction où les appareils IoT compromis deviennent des marchandises précieuses pour les entreprises criminelles. Comprendre cette dynamique est crucial pour construire des mécanismes de défense robustes contre les abus automatisés.

Que pouvez-vous faire

• Auditez le trafic de votre réseau à la recherche de motifs inhabituels pouvant indiquer une utilisation de proxy résidentiel.
• Examinez les pratiques de sécurité des fournisseurs lors de l'achat de matériel IoT pour usage professionnel ou grand public.
• Mettez en œuvre des protocoles stricts d'authentification des appareils pour empêcher les appareils non autorisés de rejoindre votre réseau.
• Surveillez les indicateurs de compromission associés aux SDK de proxy connus tels qu'AppSalt ou Honeygain.
• Sensibilisez les utilisateurs aux risques liés à l'achat de dispositifs de streaming non officiels promettant du contenu premium gratuit.
• Restez informé des rapports de renseignement sur les menaces émis par des groupes comme le GTIG et Synthient afin d'identifier les botnets émergents.