Plus de 1,3 million de boîtiers Android TV travaillaient en douce pour des cybercriminels, et pas à cause d'un piratage : le fabricant chinois Videostrong installait lui-même une porte dérobée dans ses box avant de les vendre, puis louait l'accès au plus offrant. Google a coupé les serveurs du botnet XCPE et banni le constructeur de tout l'écosystème Android.
Le fabricant lui-même à la manoeuvre
L'affaire ne ressemble pas aux histoires de malware habituelles. Ici, pas de faille exploitée ni d'employé indélicat : Google accuse Videostrong Technology Co., un fabricant chinois qui produit des boîtiers pour plusieurs marques dont MECOOL, vendue sur Amazon et AliExpress, d'avoir intentionnellement développé, déployé et opéré le système pour se faire de l'argent. La porte dérobée, baptisée x.cpe, se cache dans le firmware avec des privilèges système, ne se charge qu'après le premier démarrage pour passer les tests de certification de Google, et se réinstalle toute seule au redémarrage si vous la supprimez. Des chercheurs ont acheté une box MECOOL KM9PRO Max fin 2025 pour la décortiquer, et c'est ce travail qui a fini par faire tomber le réseau.
Votre connexion revendue à des inconnus
Videostrong ne se servait pas directement de cette armée de boîtiers : l'entreprise vendait l'accès à des affiliés, qui chargeaient ensuite leurs propres outils. Au programme, de la fraude publicitaire avec des clics générés sur des pubs invisibles, des proxys résidentiels du type Linkfog ou NetNut qui faisaient transiter le trafic de parfaits inconnus par la connexion du foyer, du vol de données de comptes et des captures d'écran à distance. Certains appareils hébergeaient jusqu'à trois de ces logiciels en même temps, capables au passage de désactiver Play Protect. Et le botnet dépassait les box TV, puisqu'on y trouvait aussi des machines à karaoké, des équipements de télésanté et de l'affichage publicitaire, dans plus de 200 pays.
Videostrong banni d'Android
Google a mené le démantèlement la semaine dernière avec la police nationale japonaise et plusieurs sociétés de cybersécurité, dont HUMAN Security. Les serveurs de commande sont tombés, des procédures sont en cours pour saisir les noms de domaine, et Videostrong perd sa licence : interdiction de produire des appareils Android certifiés ou de fournir du logiciel à d'autres marques. Le problème, c'est que le malware est toujours présent sur les boîtiers déjà vendus, et Google ne peut pas l'effacer à distance. Si vous possédez une box MECOOL, la seule vraie solution est de réinstaller un firmware sain, ou de la débrancher d'internet.
On en dit quoi ?
C'est quand même le pire scénario possible : on ne parle pas d'un piratage, mais d'un partenaire officiel de Google, certifié, qui vendait ses clients à des criminels. Ces box à 40 euros qui inondent Amazon ont donc parfois un coût caché, et c'est votre connexion qui le paye. Google a corrigé ses procédures de certification, encore heureux, mais le mal est fait pour 1,3 million de foyers. Du coup, une Apple TV, c'est plus cher, mais ce n'est plus seulement du confort, c'est aussi une garantie sur ce qui tourne vraiment dans votre salon.
