Boîtiers TV Android : un malware installé dès l’usine

4 novembre 2026 0 Par eternos974

Un appareil neuf n’est pas forcément un appareil sain. Google annonce avoir perturbé XCPE, un botnet de plus de 1,3 million d’appareils Android, principalement des boîtiers TV. Son enquête attribue au fabricant Videostrong l’intégration volontaire d’une porte dérobée dès la fabrication. L’acheteur n’avait donc pas besoin de télécharger une application douteuse pour se retrouver exposé. Le problème arrivait déjà dans le carton, soigneusement emballé avec la promesse d’un salon connecté.

La confiance est compromise avant le premier usage

Le Google Threat Intelligence Group décrit un logiciel malveillant intégré au système et capable d’agir avec des privilèges élevés. L’enquête vise plusieurs marques et modèles issus de cette chaîne de fabrication. Il ne s’agit pas d’une vulnérabilité accidentelle simplement laissée ouverte : Google affirme avoir identifié une infrastructure organisée et des mécanismes destinés à éviter les contrôles.

Cette attribution doit rester clairement reliée à l’enquête de Google. Elle change cependant la lecture du risque. Les conseils habituels sur les téléchargements ne suffisent pas lorsque le composant compromis fait partie du logiciel livré. La sécurité dépend alors aussi des procédures du constructeur et de la vérification du système installé sur l’appareil.

Une porte d’entrée pour plusieurs activités criminelles

La porte dérobée peut recevoir des commandes et charger des modules supplémentaires. Google décrit notamment la désactivation de Play Protect, l’installation silencieuse d’applications et l’accès à des informations de l’appareil. Ces capacités permettent de transformer un équipement du salon en ressource pour des opérateurs extérieurs.

Deux usages ressortent : la fraude publicitaire, qui génère artificiellement des interactions, et les proxys résidentiels, qui font passer du trafic tiers par la connexion de la victime. Le propriétaire peut continuer à voir un simple boîtier de télévision tandis que sa connexion sert à une autre activité. Le tarif d’achat ne révèle évidemment pas ce second contrat, conclu sans lui.

Un démantèlement ne désinfecte pas le matériel

Google et ses partenaires ont agi contre les domaines et les serveurs de commande, avec l’appui d’actions judiciaires. Cette perturbation vise la capacité des opérateurs à piloter et à rentabiliser le réseau. Elle ne supprime pas automatiquement la porte dérobée sur chaque appareil vendu.

C’est la différence entre couper le centre de contrôle et réparer tous les terminaux qui lui répondaient. Le logiciel étant intégré au système, une simple désinstallation d’application peut ne pas suffire. Avant de considérer un boîtier comme assaini, il faut donc disposer d’informations précises sur son modèle et sur une solution fiable, plutôt que déduire sa sécurité du seul mot « démantelé ».

La certification doit aussi résister aux contournements

Google explique que Videostrong avait exploité une lacune des tests pour charger du code malveillant après le premier démarrage. Le groupe a rompu ses relations avec le fabricant et annonce renforcer ses contrôles. La certification reste un dispositif de vérification ; elle ne constitue pas une garantie absolue contre une tentative organisée de la contourner.

L’affaire pose une question plus large que celle d’une marque : comment conserver la maîtrise de ce qui est réellement livré dans un objet connecté ? Les mises à jour, la traçabilité du logiciel et la responsabilité des fournisseurs comptent autant que la fiche technique. Le meilleur antivirus du consommateur ne peut pas, à lui seul, réécrire une usine.

Sources : 01net · Google Threat Intelligence Group