1,3 million de boîtiers TV Android piratés : Google démantèle un botnet chinois, installé dès l’usine par un fabricant

Google vient de démanteler XCPE, un botnet géant composé de plus de 1,3 million d’appareils Android, en majorité des boîtiers TV. Le virus était injecté dès l’usine par le fabricant chinois Videostrong. Comme l’a découvert Google, ce constructeur peu scrupuleux glissait une porte dérobée dans ses propres appareils au moment de la fabrication. Il pouvait ainsi donner accès aux appareils vendus à des cybercriminels.

Google vient de démanteler un vaste réseau d’appareils compromis. Baptisé XCPE, le botnet regroupait plus de 1,3 million d’appareils Android. Il y a quelques jours, le géant de Mountain View a pris le contrôle de tous les serveurs qui pilotaient le réseau criminel. Google a mis un terme aux activités du botnet avec l’aide de la police nationale japonaise et de plusieurs entreprises de cybersécurité. Selon les investigations menées par le Google Threat Intelligence Group (GTIG), la branche de Google dédiée à l’analyse des menaces, c’est le fabricant des boîtiers qui est à l’origine de l’opération malveillante. Google pointe du doigt Videostrong, une entreprise chinoise basée à Shenzhen.

À lire aussi : 2 millions de TV et de boîtiers Android ont été piratés, mais Google contre-attaque

Une porte dérobée installée dès l’usine

D’après l’enquête de Google, Videostrong a glissé une porte dérobée, intitulée x.cpe, directement dans le système de ses propres boîtiers. De facto, le logiciel malveillant, sur lequel repose toute l’offensive, était déjà présent sur le boîtier au moment de l’achat. En clair, l’acheteur ne pouvait rien faire pour échapper à celui-ci. Le virus, enfoui dans le code de l’appareil, disposait des privilèges les plus élevés du système. Même supprimé, il se réinstallait automatiquement au redémarrage de l’appareil.

« Nous avons trouvé ce logiciel malveillant intégré directement dans de nombreux modèles et marques d’appareils, sur plusieurs années. Nous pensons que cette campagne n’était pas le fait d’un employé isolé ni d’une erreur de développement », explique Google, évoquant une opération de grande ampleur.

Au moment du premier allumage, la porte dérobée commençait par désactiver Play Protect, le système de sécurité intégré à Android. Les cybercriminels pouvaient ensuite installer des applications à l’insu du propriétaire, exécuter des commandes, faire des captures d’écran ou encore simuler des frappes sur le clavier. Les pirates se sont servis de la porte dérobée pour dérober des identifiants, des données sur les appareils et des journaux système.

« Un abus de confiance inacceptable »

Surtout, Videostrong vendait l’accès à la porte dérobée à des groupes criminels. En passant par la porte dérobée, glissée à dessein par Videostrong, les pirates pouvaient installer leurs propres modules malveillants sur les boîtiers. C’était évidemment la porte ouverte à tous les abus. Certains pirates se sont mis à utiliser les boîtiers compromis pour commettre des fraudes publicitaires. En l’occurrence, les appareils compromis par le botnet servaient à générer de fausses vues sur des publicités en ligne. Ce procédé permettait aux truands de gagner rapidement des revenus publicitaires.

D’autres modules identifiés par Google transformaient les boîtiers en proxys résidentiels. Concrètement, les pirates louaient la connexion Internet des victimes à d’autres cybercriminels. Les hackers pouvaient ainsi faire transiter leur trafic malveillant par le réseau Internet des victimes, ce qui leur permettait de camoufler leurs activités.

« Un fabricant d’appareils qui infecte intentionnellement ses utilisateurs avec un logiciel malveillant constitue un abus de confiance inacceptable, et représente un risque sérieux pour ces utilisateurs », dénonce Google.

Impliqués dans l’enquête initiée par Google, les chercheurs de TrendA ont recensé près de 1,5 million d’appareils infectés, répartis sur 206 modèles, entre juin et octobre. La Malaisie, le Brésil, l’Irak, le Mexique et Taïwan sont les pays les plus touchés. Pour faire tomber les serveurs du botnet, Google s’est tourné vers les tribunaux. Avec l’accord de la justice, l’opération va couper l’accès des pirates à au moins 10 millions d’appareils supplémentaires, infectés par d’autres moyens et d’autres virus, mais reposant sur la même infrastructure.

« Une action collective comme celle-ci interrompt l’infrastructure nécessaire à la monétisation, augmente le coût d’exploitation de ces réseaux et affaiblit les incitations qui les font vivre », souligne Gavin Reid, responsable de la sécurité chez HUMAN Security.

Des boîtiers piratés, mais certifiés par Google

Une partie des boîtiers fabriqués par Videostrong ont été certifiés Android TV par Google. Cette certification indique que l’appareil est passé par une batterie de vérifications de sécurité. Elle doit théoriquement permettre aux acheteurs de trier le bon grain de l’ivraie, au moment de l’achat d’un nouveau boîtier TV sous Android. Il s’avère que Videostrong a trouvé le moyen de contourner tous les contrôles de Google. Le groupe chinois avait pris l’habitude de charger le code du malware après le premier démarrage de l’appareil, ce qui lui a permis de passer sous le radar. À la suite de la découverte des pratiques de Videostrong, Google a revu de fond en comble son processus de vérification d’appareils. Sans surprise, Google a aussi cessé de collaborer avec Videostrong. Le fabricant n’est plus autorisé à produire des appareils certifiés Android TV.

Residential proxies, ad fraud, and credential theft have flourished through sophisticated pre-infected device schemes. This research, in partnership with the @motionpictures and in collaboration with @Google, @trendaisecurity , @BlackLotusLabs , and @SecureWithHUMAN, disrupts one of these operators.

Synthient’s Research Team documents its findings in this report, showing how the operators distributed over 1.3 million devices to unsuspecting consumers and how this supply chain pushed numerous backdoors from APSolo to Honeygain.

Read more here: https://t.co/qOR4fx9xzr

— Synthient (@synthient) November 2, 2026

Les propriétaires d’appareils conçus par Videostrong se retrouvent donc avec un boîtier compromis par un botnet inopérant. Privé de son infrastructure, le botnet ne peut plus recevoir d’ordre de la part des pirates. Bien que le botnet soit hors service, la société Synthient, qui a identifié 182 modèles de boîtiers compromis, recommande tout simplement de jeter les appareils concernés, par mesure de sécurité. La plupart des références piratées proviennent de petites marques chinoises, comme MECOOL, Dreamstar, Cruze TV, Switron, ou Showbox. De notre côté, on vous recommande d’éviter les marques low cost méconnues. Tournez-vous plutôt vers des marques de référence, dont la réputation n’est plus à faire. 

Ce n’est pas la première fois que des appareils Android sont infectés par un logiciel malveillant dès la sortie de l’usine. Ces dernières années, plusieurs virus de ce type ont fait parler d’eux. C’est le cas de Badbox, un botnet chinois qui s’est propagé sur des Smart TV, des boîtiers TV, des tablettes et des projecteurs Android, avant même leur mise en vente. Selon le FBI, Badbox est parvenu à compromettre près de dix millions d’appareils à l’été 2025. Citons aussi Triada, un virus retrouvé dans le micrologiciel de milliers de smartphones contrefaits, ou encore Keenadu, un malware planqué dans le firmware de plus de 13 000 smartphones et tablettes de marques chinoises low cost, présentes sur Amazon ou AliExpress.