Google démantèle un botnet Android de 1,3 million d'appareils : Videostrong privé de certification
Google a engagé des poursuites pour saisir l'infrastructure de commande et contrôle derrière x.cpe, une porte dérobée préinstallée dans le firmware Android que TrendAI a comptée sur 1 472 554 appareils entre le 3 juin et le 1er octobre 2026. Le décompte couvre 206 modèles, majoritairement des boîtiers Android TV, et Google le présente comme un plancher, pas un plafond. Dans son analyse, l'entreprise indique que couper les serveurs des affiliés du botnet devrait aussi priver d'accès au moins 10 millions d'autres appareils compromis, car les mêmes groupes criminels diffusent des malwares par d'autres canaux.
Ce que la porte dérobée savait faire
x.cpe, également suivie sous le nom com.oemservice, s'exécute comme application système avec les privilèges d'android.uid.system. Elle est intégrée à l'image firmware et non installée après coup : une réinitialisation d'usine ne la supprime donc pas, le paquet étant restauré depuis la partition /oem/ au redémarrage. Selon l'équipe threat intelligence de Google, l'implant désactive la vérification des applications de Play Protect en fixant package_verifier_user_consent à -1, puis ouvre un canal MQTT persistant vers ses opérateurs. L'analyse de TrendAI, résumée par The Hacker News, décrit une conception en deux étapes où une requête HTTP d'amorçage fournit à l'appareil son serveur de commandes.- Installation et désinstallation silencieuses d'applications
- Exécution arbitraire de commandes shell, y compris des reverse shells
- Capture d'écran et injection de frappes
- Collecte des identifiants de comptes, des listes d'applications et des journaux système
- Reconnaissance du sous-réseau local
- Réinstallation après redémarrage depuis la partition firmware
Les proxys résidentiels étaient le produit
La plupart des modules de monétisation transformaient le matériel infecté en nœuds de sortie de proxy résidentiel ou vendaient de la bande passante inutilisée. Le rapport de Google cite des SDK de proxy comme Linkfog, Jaguar, AppSalt, BWM, GaGaNode, NetNut et Traffmonetizer, et note qu'un même appareil pouvait en faire tourner jusqu'à trois simultanément. D'autres modules, suivis sous les noms Spirit, Moyu, Bird, Fission et HiddenView, généraient de fausses impressions publicitaires. Un réseau de proxys résidentiels ne vaut que par la diversité et la réputation de ses IP de sortie, et les appareils grand public en offrent exactement cela : des adresses qui ressemblent à des abonnés haut débit ordinaires et non à des plages de datacenter. Les acheteurs de cette capacité y font passer du scraping, du credential stuffing et de la fraude qui seraient bloqués ailleurs. Quand le nœud de sortie est un boîtier TV dans un salon, le trafic est attribué à la connexion de ce foyer.Un fabricant qui infecte délibérément ses utilisateurs avec un malware commet une violation inacceptable de la confiance et représente un risque grave pour ces personnes. - GooglePour qui traite l'identité réseau comme une question opérationnelle, la leçon est qu'un appareil compromis peut faire passer sur votre ligne un trafic que vous n'avez pas généré. Le même raisonnement vaut pour le matériel avec lequel vous accédez à Tor ou administrez des choses sensibles ; la liste générale figure dans notre guide de sécurité des appareils avant Tor.
Attribution : un document signé et une IP partagée
Google se dit très convaincu que Videostrong Technology, basé à Shenzhen, a conçu, déployé et exploité la porte dérobée délibérément, et vendu l'accès à des affiliés criminels. Les éléments comprennent un document signé par le directeur R&D de Videostrong retrouvé sur un serveur du botnet, un domaine Videostrong résolvant vers la même IP que le panneau de contrôle des opérateurs, un compte GitHub nommé yf-videostrong servant à héberger des versions, et x.cpe transmettant les réglages du serveur de commandes à d'autres applications Videostrong comme YokaTV Player. Charley Snyder, de Google, a déclaré à CyberScoop que les opérateurs modifiaient constamment leurs configurations pour échapper à la détection avant et après lancement. Synthient, l'un des partenaires de l'opération, est parvenu indépendamment à la même conclusion. L'entreprise a acheté un MECOOL KM9PRO Max en boutique et y a trouvé la porte dérobée préinstallée, puis a publié une liste de 182 noms de modèles observés dans la campagne, en précisant qu'un nom de modèle ne prouve pas à lui seul qu'un appareil est infecté. Plume, qui fournit des logiciels de gestion de routeurs et d'appareils, a trouvé plus d'une douzaine de types d'appareils dialoguant avec le serveur de contrôle du botnet, majoritairement de marque MECOOL.Le démantèlement et ce qu'il laisse derrière lui
L'opération, menée avec l'Agence nationale de police du Japon et soutenue par Lumen, HUMAN Security, Plume, Synthient et TrendAI, a mis hors ligne les domaines et serveurs de contrôle de Videostrong ainsi que les domaines de commande et contrôle de plus d'une douzaine de familles de malwares chargées via la porte dérobée. Google a aussi interdit à Videostrong et à ses futures filiales de fabriquer ou vendre des appareils Android certifiés, ou de fournir des logiciels à d'autres fabricants certifiés. The Register rapporte que l'entreprise a rompu ses liens avec le fournisseur ; Videostrong n'a pas répondu aux demandes de commentaire. Google affirme avoir renforcé la vérification d'intégrité du firmware des appareils Android TV certifiés et modifié son processus de revue, mais le problème structurel demeure. La certification teste un appareil avant sa livraison ; le code malveillant a été chargé après le premier démarrage, précisément la fenêtre que ces tests ne couvrent pas. Les appareils déjà déployés conservent l'implant jusqu'au remplacement du firmware, et pour TrendAI la remédiation exige une action du fabricant, une protection de la plateforme ou le remplacement du matériel.Mesures pratiques pour les propriétaires et les acheteurs
- Considérez tout modèle de la liste publiée par Synthient comme à haut risque ; isolez-le des réseaux de confiance ou remplacez-le.
- Bloquez au routeur ou au résolveur DNS les domaines d'amorçage et MQTT documentés.
- Placez téléviseurs, boîtiers et objets connectés sur un VLAN ou un réseau invité séparé, sans route vers les interfaces d'administration.
- Méfiez-vous des applications qui paient pour de la bande passante inutilisée ou le partage de votre connexion ; Google cite l'inscription silencieuse et sans consentement comme la voie la plus courante vers les réseaux de proxys.
- Gardez Play Protect activé et privilégiez les fabricants figurant sur la liste des partenaires certifiés Android TV.