Un boîtier peut afficher vos séries normalement tout en laissant des inconnus exploiter votre connexion. Google et ses partenaires ont coupé l’infrastructure de XCPE, une porte dérobée présente dans plus de 1,3 million de boîtiers TV. Leur rapport du 2 novembre révèle que des appareils Android certifiés ont aussi été touchés. L’opération elle-même a été menée la semaine précédente.
Le logiciel malveillant arrivait avec le boîtier
Selon le communiqué des partenaires de l’opération, le logiciel malveillant était intégré au système avant la vente. L’infection ne dépendait donc pas d’un fichier suspect ouvert par l’acheteur. Elle pouvait accompagner le premier démarrage d’un appareil acheté pour un usage ordinaire.
Les opérateurs tiraient notamment des revenus de la fraude publicitaire et de la circulation de trafic par les connexions des particuliers. Un boîtier encore capable de lire une vidéo pouvait ainsi rester utile aux pirates. Le fonctionnement apparent du produit ne permettait pas de juger sa sécurité.
La certification Android a elle aussi été contournée
Dans son rapport technique, Google attribue avec un niveau de confiance élevé le développement et l’exploitation volontaire de cette porte dérobée à Videostrong. L’entreprise aurait employé des procédés de dissimulation pour charger du code malveillant après le premier démarrage et passer entre les contrôles.
Google annonce avoir banni Videostrong, ses futures filiales et sociétés affiliées de la fabrication d’appareils Android certifiés, tout en renforçant ses vérifications. Le rapport décrit également une persistance dans une partition du système : supprimer le paquet malveillant pouvait être suivi de sa réinstallation au redémarrage.
Couper les serveurs de commande ne revient donc pas à nettoyer chaque appareil. L’opération réduit les moyens de pilotage du réseau ; elle ne constitue pas une mise à jour réparatrice universelle pour les boîtiers déjà vendus.
Pourquoi votre adresse IP intéresse ces réseaux
Un « proxy résidentiel » fait passer une connexion tierce par l’accès Internet d’un particulier. Vu du site visité, le trafic provient alors d’une adresse domestique. Dans une enquête antérieure consacrée à ces réseaux, Synthient décrit leur utilisation pour la fraude publicitaire et les tentatives de connexion automatisées à des comptes.
Le risque dépasse la consommation de bande passante. Un appareil acheté pour regarder la télévision peut devenir un relais de trafic qu’aucun membre du foyer n’a demandé. Une image parfaitement fluide à l’écran ne dit rien des connexions lancées en coulisses.
Tous les boîtiers Android TV ne sont pas concernés
Les partenaires décrivent un réseau mondial, sans bilan français détaillé permettant ici de compter les victimes. Ce rapport ne permet pas d’accuser tous les boîtiers Android TV, ni d’y ajouter une marque simplement parce qu’elle utilise Android.
Pour un appareil suspect, relevez la marque et la référence exactes, puis contactez son fabricant ou son vendeur afin d’obtenir une réponse sur le support de sécurité. Le déconnecter du réseau suspend son accès à Internet en attendant cette vérification. Une réinitialisation ne doit pas être considérée comme une preuve de nettoyage lorsqu’un programme est intégré au système.
Google recommande notamment de privilégier des fabricants reconnus et de conserver les protections intégrées actives. Nos vérifications avant d’installer une application sur une box Android TV restent utiles, mais ce dossier montre aussi les limites des précautions prises après l’achat face à un appareil compromis en amont.
Image : illustration.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
