\n
Un appareil neuf n\u2019est pas forc\u00e9ment un appareil sain. Google annonce avoir perturb\u00e9 XCPE, un botnet de plus de 1,3 million d\u2019appareils Android, principalement des bo\u00eetiers TV. Son enqu\u00eate attribue au fabricant Videostrong l\u2019int\u00e9gration volontaire d\u2019une porte d\u00e9rob\u00e9e d\u00e8s la fabrication. L\u2019acheteur n\u2019avait donc pas besoin de t\u00e9l\u00e9charger une application douteuse pour se retrouver expos\u00e9. Le probl\u00e8me arrivait d\u00e9j\u00e0 dans le carton, soigneusement emball\u00e9 avec la promesse d\u2019un salon connect\u00e9.<\/p>\n<\/p>\n
\n
\n
Le Google Threat Intelligence Group d\u00e9crit un logiciel malveillant int\u00e9gr\u00e9 au syst\u00e8me et capable d\u2019agir avec des privil\u00e8ges \u00e9lev\u00e9s. L\u2019enqu\u00eate vise plusieurs marques et mod\u00e8les issus de cette cha\u00eene de fabrication. Il ne s\u2019agit pas d\u2019une vuln\u00e9rabilit\u00e9 accidentelle simplement laiss\u00e9e ouverte : Google affirme avoir identifi\u00e9 une infrastructure organis\u00e9e et des m\u00e9canismes destin\u00e9s \u00e0 \u00e9viter les contr\u00f4les.<\/p>\n<\/p>\n
\n
Cette attribution doit rester clairement reli\u00e9e \u00e0 l\u2019enqu\u00eate de Google. Elle change cependant la lecture du risque. Les conseils habituels sur les t\u00e9l\u00e9chargements ne suffisent pas lorsque le composant compromis fait partie du logiciel livr\u00e9. La s\u00e9curit\u00e9 d\u00e9pend alors aussi des proc\u00e9dures du constructeur et de la v\u00e9rification du syst\u00e8me install\u00e9 sur l\u2019appareil.<\/p>\n<\/p>\n
\n
\n
La porte d\u00e9rob\u00e9e peut recevoir des commandes et charger des modules suppl\u00e9mentaires. Google d\u00e9crit notamment la d\u00e9sactivation de Play Protect, l\u2019installation silencieuse d\u2019applications et l\u2019acc\u00e8s \u00e0 des informations de l\u2019appareil. Ces capacit\u00e9s permettent de transformer un \u00e9quipement du salon en ressource pour des op\u00e9rateurs ext\u00e9rieurs.<\/p>\n<\/p>\n
\n
Deux usages ressortent : la fraude publicitaire, qui g\u00e9n\u00e8re artificiellement des interactions, et les proxys r\u00e9sidentiels, qui font passer du trafic tiers par la connexion de la victime. Le propri\u00e9taire peut continuer \u00e0 voir un simple bo\u00eetier de t\u00e9l\u00e9vision tandis que sa connexion sert \u00e0 une autre activit\u00e9. Le tarif d\u2019achat ne r\u00e9v\u00e8le \u00e9videmment pas ce second contrat, conclu sans lui.<\/p>\n<\/p>\n
\n
\n
Google et ses partenaires ont agi contre les domaines et les serveurs de commande, avec l\u2019appui d\u2019actions judiciaires. Cette perturbation vise la capacit\u00e9 des op\u00e9rateurs \u00e0 piloter et \u00e0 rentabiliser le r\u00e9seau. Elle ne supprime pas automatiquement la porte d\u00e9rob\u00e9e sur chaque appareil vendu.<\/p>\n<\/p>\n
\n
C\u2019est la diff\u00e9rence entre couper le centre de contr\u00f4le et r\u00e9parer tous les terminaux qui lui r\u00e9pondaient. Le logiciel \u00e9tant int\u00e9gr\u00e9 au syst\u00e8me, une simple d\u00e9sinstallation d\u2019application peut ne pas suffire. Avant de consid\u00e9rer un bo\u00eetier comme assaini, il faut donc disposer d\u2019informations pr\u00e9cises sur son mod\u00e8le et sur une solution fiable, plut\u00f4t que d\u00e9duire sa s\u00e9curit\u00e9 du seul mot \u00ab d\u00e9mantel\u00e9 \u00bb.<\/p>\n<\/p>\n
\n
\n
Google explique que Videostrong avait exploit\u00e9 une lacune des tests pour charger du code malveillant apr\u00e8s le premier d\u00e9marrage. Le groupe a rompu ses relations avec le fabricant et annonce renforcer ses contr\u00f4les. La certification reste un dispositif de v\u00e9rification ; elle ne constitue pas une garantie absolue contre une tentative organis\u00e9e de la contourner.<\/p>\n<\/p>\n
\n
L\u2019affaire pose une question plus large que celle d\u2019une marque : comment conserver la ma\u00eetrise de ce qui est r\u00e9ellement livr\u00e9 dans un objet connect\u00e9 ? Les mises \u00e0 jour, la tra\u00e7abilit\u00e9 du logiciel et la responsabilit\u00e9 des fournisseurs comptent autant que la fiche technique. Le meilleur antivirus du consommateur ne peut pas, \u00e0 lui seul, r\u00e9\u00e9crire une usine.<\/p>\n<\/p>\n
\n
Sources : 01net \u00b7 Google Threat Intelligence Group<\/p>\n<\/p>\n\n\n