Vous branchez un boîtier de streaming à votre téléviseur et pensez que la connexion sert uniquement à télécharger des applications et regarder des vidéos. Sur certains appareils étudiés par des chercheurs en sécurité, une partie de la connexion Internet du foyer peut pourtant être utilisée pour faire transiter le trafic de parfaits inconnus.
Plume Security Labs a documenté ce comportement sur des boîtiers Android SuperBox associés notamment à l’application CyberFlix TV. Une seconde partie de l’enquête, publiée le 31 août 2026, révèle désormais que l’infrastructure de proxy découverte sur ces appareils peut également devenir un vecteur permettant la distribution d’autres malwares.
Il ne faut pas généraliser : l’enquête ne concerne pas tous les boîtiers IPTV ni toutes les applications de streaming. Mais ce que les chercheurs ont effectivement observé est particulièrement préoccupant.
Le boîtier transforme la connexion du foyer en proxy résidentiel
Le problème identifié par Plume se trouve notamment dans CyberFlix TV, une application disponible par l’intermédiaire de la boutique personnalisée de certains boîtiers SuperBox.
Les chercheurs y ont découvert un composant appelé Popanet.
Une fois activé, celui-ci peut enregistrer le boîtier auprès d’une infrastructure distante puis utiliser la connexion Internet de son propriétaire comme un proxy résidentiel. Des tiers peuvent alors faire passer leurs propres connexions par le domicile de l’utilisateur.
Du point de vue du site distant, le trafic ne provient plus directement de la personne qui l’a initié.
Il semble provenir de l’adresse IP publique du foyer où se trouve le boîtier.
C’est ce détail qui rend le système particulièrement sensible.
Des dizaines de milliers de connexions peuvent partir du boîtier chaque jour
Il ne s’agit pas simplement de quelques requêtes techniques nécessaires au fonctionnement d’une application vidéo.
Plume affirme avoir enregistré sur les appareils étudiés des dizaines de milliers de connexions sortantes par jour et par boîtier, dirigées vers des milliers de destinations différentes.
L’activité peut donc être largement invisible pour le propriétaire.
Celui-ci voit simplement son boîtier connecté à sa box Internet. En arrière-plan, le même appareil peut servir de point de sortie à d’autres utilisateurs du réseau proxy.
Dans certains cas documentés par Plume, ce trafic était même suffisant pour perturber les performances de la connexion domestique. Le laboratoire indique avoir identifié près de 10 000 appareils SuperBox sur sa propre base d’utilisateurs au moment de ses recherches.
Ce type de menace rappelle un autre phénomène déjà traité sur Menow : plus de 10 millions de boîtiers et appareils Android ont été détournés dans le cadre du botnet BadBox 2.0.
Des identifiants et des tentatives de contournement ont transité par ces connexions
Les chercheurs sont allés plus loin en étudiant le trafic réellement envoyé à travers le réseau.
Ils expliquent avoir observé des identifiants sensibles liés à des plateformes de jeux, des codes de vérification de messageries, du scraping automatisé à grande échelle et des opérations cherchant à contourner certains systèmes de sécurité d’entreprise.
Cela ne signifie pas que le propriétaire du boîtier effectue lui-même ces opérations.
C’est justement le problème.
Son adresse IP peut servir de point de sortie à une activité sur laquelle il n’a aucun contrôle.
Pour un service Internet distant, une requête passant par le proxy peut apparaître comme provenant de cette connexion résidentielle normale plutôt que de l’infrastructure réellement utilisée par le tiers.
Un abonnement IPTV ou un boîtier acheté principalement pour regarder des chaînes peut donc avoir une fonction cachée beaucoup plus large que celle imaginée par son propriétaire.
Le risque ne s’arrête plus au partage de l’adresse IP
L’enquête publiée le 31 août 2026 ajoute une deuxième couche au problème.
Selon Plume Security Labs, les réseaux de proxies résidentiels de ce type ne servent pas uniquement à monétiser la bande passante des utilisateurs. Ils peuvent également être ciblés pour installer d’autres familles de logiciels malveillants sur des appareils déjà compromis.
Les chercheurs sont arrivés à cette conclusion après des opérations de rétro-ingénierie, des analyses de l’infrastructure, des expériences contrôlées et l’observation du trafic réseau.
Un boîtier déjà transformé en proxy peut donc devenir une porte d’entrée vers d’autres infections.
C’est précisément ce qui rend cette nouvelle partie de l’étude plus inquiétante que la découverte initiale de mai : l’utilisation de la connexion Internet n’est potentiellement que la première étape.
Des faiblesses permettent aussi d’atteindre le boîtier depuis le réseau
Plume a également identifié plusieurs choix techniques risqués sur les appareils étudiés.
Sur les SuperBox analysées, Android Debug Bridge était accessible sur le réseau local sans validation classique et un accès root était disponible sans authentification, selon les chercheurs. La boutique d’applications personnalisée pouvait par ailleurs installer du logiciel avec des privilèges élevés sans passer par les contrôles habituels d’Android, comme Play Protect.
Les chercheurs ont aussi découvert une faiblesse dans le mécanisme censé empêcher les utilisateurs du proxy d’accéder au réseau interne.
Dans leurs tests, cette protection pouvait être contournée pour atteindre certains services locaux du boîtier.
C’est une raison supplémentaire de ne pas considérer un boîtier de streaming inconnu comme un appareil isolé sans conséquence pour le reste du foyer.
Tous les boîtiers IPTV ne sont pas concernés
Le point est essentiel.
L’étude de Plume vise des appareils SuperBox et des logiciels précis, notamment CyberFlix TV et le composant Popanet. Elle ne permet pas d’affirmer que chaque boîtier Android, chaque application IPTV ou chaque Smart TV transforme la connexion de son propriétaire en proxy.
Le problème se concentre surtout sur des appareils et applications dont l’origine, les mises à jour et les contrôles de sécurité peuvent être difficiles à vérifier.
L’installation manuelle de logiciels provenant de sources inconnues augmente également l’exposition. Nous avions expliqué dans notre dossier consacré aux fichiers APK IPTV installés sur une Smart TV pourquoi les applications obtenues en dehors des boutiques officielles méritent une vigilance particulière.
Si vous possédez un SuperBox, le nom CyberFlix TV mérite votre attention
Pour quelqu’un qui possède l’un des appareils étudiés, l’information la plus concrète est donc simple : vérifier la présence de CyberFlix TV et l’origine des applications installées sur le boîtier devient particulièrement pertinent.
Une consommation réseau anormalement élevée ou des ralentissements inexpliqués peuvent avoir de nombreuses causes et ne prouvent pas, à eux seuls, la présence d’un proxy. Ils ne doivent donc pas être présentés comme une preuve d’infection.
Mais les conclusions de Plume montrent qu’un boîtier de streaming peut faire bien plus que diffuser une vidéo.
Dans le cas documenté par les chercheurs, l’adresse IP et la bande passante du foyer ont pu être utilisées pour transporter du trafic appartenant à des tiers, sans consentement du propriétaire, tandis que l’infrastructure ainsi créée pouvait ensuite être visée par d’autres logiciels malveillants.
Le prix d’un accès à des contenus gratuits ou très bon marché peut donc parfois se payer autrement qu’avec un abonnement.
Source : Plume Security Labs
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
