Google et plusieurs partenaires du secteur ont perturbé le botnet malveillant XCPE, qui, selon l’entreprise, était intégré à plus de 1,3 million de boîtiers de streaming Android TV lors de leur fabrication. Google attribue l’opération avec un haut degré de confiance au fabricant chinois d’appareils Videostrong Technology Co., alléguant que l’entreprise avait installé une porte dérobée persistante et vendu l’accès à des affiliés criminels à des fins lucratives.
Les appareils compromis ont été utilisés pour plusieurs types de cybercriminalité. Les affiliés ont déployé des modules de fraude publicitaire, transformé les boîtiers en proxys résidentiels et installé d’autres logiciels malveillants. Google a également mis hors service des serveurs de commande et de contrôle utilisés par plus d’une douzaine de familles de logiciels malveillants apparentées, coupant l’accès à au moins 10 millions d’autres appareils compromis. Ces appareils comprenaient des décodeurs vendus au détail, des machines de karaoké et du matériel de télésanté, et n’étaient pas tous des produits Android.
Google a mis fin à sa relation avec Videostrong, révoqué l’autorisation de l’entreprise de fabriquer des appareils Android TV équipés au préalable d’applications et de services Google, et lui a interdit, ainsi qu’à ses futurs affiliés, de produire des appareils Android certifiés ou de fournir des logiciels à des fournisseurs certifiés.
Le logiciel malveillant XCPE se distinguait des botnets qui infectent généralement les appareils par l’intermédiaire de vulnérabilités logicielles ou de téléchargements trompeurs. Selon Google, il était intégré directement au micrologiciel des appareils et distribué sur plusieurs marques et modèles pendant plusieurs années. Ses principaux composants, suivis sous les noms x.cpe et com.oemservice, fonctionnaient avec des privilèges de niveau système Android et utilisaient une architecture modulaire séparant les capacités de porte dérobée des outils générateurs de revenus.
Après le démarrage d’un appareil infecté, le logiciel malveillant contactait une infrastructure située sur le domaine anyevonline[.]com afin d’obtenir les informations de connexion et les identifiants d’un courtier MQTT hébergé à l’adresse mqtt.szbboys[.]com. Les opérateurs pouvaient alors envoyer des commandes à distance et installer des applications supplémentaires, désactiver Google Play Protect, exécuter des commandes shell, réaliser des captures d’écran, enregistrer les frappes au clavier et recueillir des informations sur les comptes, l’appareil, les applications et le système. Le logiciel malveillant pouvait également effectuer une reconnaissance du réseau et établir des shells inversés.
Google a indiqué que la plateforme prenait en charge des modules liés à des services de proxys résidentiels, notamment Linkfog, AppSalt/Honeygain, GaGaNode, NetNut et Traffmonetizer. Ces services acheminaient le trafic de tiers par l’intermédiaire d’appareils infectés à l’insu et sans le consentement de leurs propriétaires. D’autres modules généraient une activité publicitaire frauduleuse, installaient des portes dérobées supplémentaires et téléchargeaient d’autres logiciels malveillants.
Les opérateurs ont modifié à plusieurs reprises le logiciel malveillant afin de rendre sa détection plus difficile. Fin 2024, ils ont introduit un chargeur distinct nommé com.abc.nexus, tandis que depuis août 2026, ils avaient commencé à le remplacer par des droppers plus petits déguisés en applications système Android.
La société de cybersécurité Synthient a relié le logiciel malveillant et son infrastructure à Videostrong après avoir découvert la porte dérobée préinstallée sur un boîtier Android TV MECOOL KM9PRO Max acheté fin 2025. Les chercheurs ont également identifié un répertoire publiquement accessible contenant des portes dérobées ainsi qu’un fichier PDF associé à Owen Cao, directeur de la R&D de Videostrong. Ils ont constaté que le domaine de Videostrong se résolvait vers la même adresse IP qu’un serveur de commande et de contrôle XCPE et que des adresses e-mail de l’entreprise avaient été utilisées pour signer les portes dérobées.
Google a déclaré que les éléments recueillis indiquaient une installation délibérée par le fabricant plutôt qu’un incident isolé impliquant un employé ou une erreur accidentelle de développement. L’entreprise a également modifié son processus d’examen des certifications après avoir déterminé que Videostrong utilisait l’obfuscation pour contourner les tests et charger du code malveillant après le premier démarrage des appareils.
Bien que l’opération ait touché l’infrastructure du botnet, Google a indiqué que le logiciel malveillant restait présent sur les appareils infectés. S’il est supprimé, il peut se réinstaller depuis la partition /oem/. Les utilisateurs devraient installer un micrologiciel sain pour supprimer l’infection ou déconnecter les appareils concernés d’Internet afin d’empêcher toute activité malveillante supplémentaire.
L’opération a impliqué l’Agence nationale de police du Japon ainsi que les sociétés de sécurité Lumen, HUMAN Security, Plume, Synthient et TrendAI.
Sources: BleepingComputer.