Le 2 novembre 2026, le Google Threat Intelligence Group (GTIG) a annoncé, dans son rapport sur le botnet XCPE, le démantèlement d’un réseau de plus de 1,3 million de boîtiers Android TV. Le GTIG attribue, avec « haute confiance », la conception et l’exploitation de la porte dérobée à Videostrong Technology Co., un fabricant d’appareils Android. L’opération associe la police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. The Register indique que Videostrong n’a pas répondu dans l’immédiat à ses questions. Selon le GTIG, Google a par ailleurs banni Videostrong, ainsi que ses éventuelles filiales futures, de la fabrication et de la vente d’appareils Android certifiés.
Une porte dérobée installée avant la vente
Selon le GTIG, le composant principal, nommé x.cpe, est préinstallé dans la partition du micrologiciel et tourne avec des droits système. Si l’utilisateur le désinstalle, il se réinstalle depuis le dossier /oem/ au redémarrage. TrendAI ajoute qu’il se faisait passer pour un client de gestion à distance classique et se connectait à un serveur MQTT (un protocole de messagerie léger) donnant à l’opérateur un contrôle complet : installation et suppression silencieuses d’applications, changement de réglages, mises à jour.
L’architecture décrite dans le rapport du GTIG comporte trois étages : la porte dérobée, un chargeur qui exécute les modules (com.abc.nexus), puis des modules de monétisation conçus par des affiliés. Ces derniers sont des tiers à qui, d’après le GTIG, Videostrong vendait l’accès aux appareils.
Comment le test de certification a été contourné
Google impose aux fabricants des tests de compatibilité et de sécurité. Le GTIG affirme que Videostrong a « employé des techniques d’obscurcissement pour exploiter une faille dans nos tests et charger du code malveillant après le premier démarrage de l’appareil » (GTIG, traduit par nos soins). Autrement dit, le micrologiciel examiné en laboratoire paraissait propre ; la charge utile arrivait ensuite. Krebs on Security relaie que Google dit avoir corrigé cette faiblesse.
Le rapport du GTIG décrit d’autres précautions de l’opérateur : déplacement du code malveillant hors de x.cpe à partir de fin 2024, peut-être en réaction, selon le GTIG, aux actions de Google contre BadBox, et désactivation de Google Play Protect. Depuis août 2026, de nouveaux droppers (des programmes chargés d’installer d’autres logiciels) sont installés via le canal MQTT, en apparente synchronisation avec la désinstallation massive du chargeur. Google annonce de son côté un renforcement des contrôles d’intégrité du micrologiciel des appareils Android TV certifiés et une modification de son processus d’examen des fabricants.
Proxys résidentiels et fraude publicitaire
Le GTIG classe les modules en trois familles : partage de bande passante et proxys résidentiels, portes dérobées chargeant d’autres modules, fraude publicitaire. Il cite notamment Linkfog, AppSalt/Honeygain, GaGaNode, NetNut/Popanet, Traffmonetizer et EarnFM, et relève qu’un appareil peut embarquer jusqu’à trois SDK de proxy résidentiel. TrendAI estime qu’environ 1,33 million d’appareils étaient programmés pour recevoir des modules de proxy ou de fraude, soit à peu près neuf sur dix.
Le principe d’un proxy résidentiel : l’acheteur loue une adresse IP de particulier. Selon TrendAI, une IP domestique située dans la région de la victime peut passer les contrôles de connexion, de paiement et de géolocalisation, et les impressions publicitaires générées depuis une vraie connexion résidentielle ressemblent à une audience authentique.
Pourquoi les listes de blocage ne suffisent pas
TrendAI a observé 3 849 226 adresses IP résidentielles de sortie distinctes entre le 3 juin et le 1er octobre 2026, avec en moyenne 182 025 adresses disponibles par jour. Un filtrage fondé sur des plages de serveurs ou de data centers ne voit pas ce trafic, puisqu’il sort de salons ordinaires. C’est pourquoi l’éditeur recommande de ne pas se fier à la seule réputation d’IP, et de croiser des empreintes réseau (comme JA4T) avec des signaux de comportement, tels que des échecs de connexion répétés.
1,3 million ou 1,47 million d’appareils ?
Google et Krebs parlent de « plus de 1,3 million » de boîtiers. La télémétrie de TrendAI aboutit à 1 472 554 appareils, répartis sur 206 modèles dans plus de 170 pays. TrendAI explique que les comptages diffèrent légèrement d’un partenaire à l’autre selon le moment de chaque instantané et ce que chaque partenaire pouvait observer. Sa collecte étant intermittente, chaque chiffre est, écrit-il, « une borne basse » de la flotte réelle (traduit par nos soins). Pour Ben Brundage, fondateur de Synthient, cité par Krebs, le chiffre de 1,3 million est « très prudent » et l’échelle réelle est « probablement bien plus élevée » (traduit par nos soins). On peut y voir moins une contradiction que des définitions de comptage différentes.
Réactions et nuances
Le 5 novembre 2026, Krebs a ajouté une mise à jour avec la réponse d’Oxylabs, présentée par le GTIG comme propriétaire de Honeygain. Krebs précise que, depuis octobre 2026, les deux sociétés sont réorganisées en plateformes indépendantes sous une entité faîtière, Source. Oxylabs affirme n’avoir aucune trace d’une société nommée Videostrong, mais avoir identifié un fournisseur lié au domaine com.abc[.]nexus, qui avait assuré à son équipe qualité que les utilisateurs avaient consenti. Selon elle, son système exige un signal de consentement avant qu’un appareil serve de nœud de sortie, et le développeur a falsifié ces signaux. Elle dit avoir suspendu la relation avec ce fournisseur et lui avoir adressé une demande juridique formelle, et précise qu’il représente moins de 1 % de son parc d’adresses IP (Krebs on Security, traduit par nos soins). Il s’agit de la position de l’entreprise, que nous ne pouvons pas vérifier de façon indépendante.
Les autres sociétés citées dans le rapport de Google n’ont pas de réponse publiée dans l’article de Krebs. TrendAI rappelle de son côté que des services comme Linkfog et DianxinCloud ne sont « pas nécessairement malveillants » en eux-mêmes ; le problème tient à l’enrôlement d’appareils sans le consentement de leurs propriétaires. Au 9 novembre 2026, dans les sources consultées, nous n’avons trouvé ni démenti de Videostrong, ni correction de Google ou de TrendAI.
Ce que l’on ignore, et ce qui reste en place
Le démantèlement coupe l’opérateur des appareils, pas le code des appareils. D’après TrendAI, l’implant reste sur chaque boîtier, signé de la clé du fabricant : le retirer suppose une action du constructeur, une protection de la plateforme ou le remplacement de l’appareil. « Des opérateurs de ce type ont déjà reconstruit leur infrastructure », rappelle TrendAI. Le GTIG décrit lui-même l’opération comme ponctuelle : une perturbation durable demandera, écrit-il, de continuer à cibler cette infrastructure. Il estime aussi que la neutralisation des domaines des affiliés coupe l’accès à au moins 10 millions d’appareils compromis supplémentaires.
TrendAI n’a identifié aucun acheteur précis de la capacité de proxy, et précise que rien ne permet d’y voir une utilisation par des acteurs étatiques.
Ce qu’il faut faire concrètement
Les recommandations du GTIG aux particuliers : se méfier des applications qui rémunèrent le « partage de bande passante », n’installer des applications que depuis des boutiques de confiance, garder Google Play Protect activé et n’acheter des boîtiers que chez des fabricants reconnus, en s’appuyant sur la liste des partenaires Android TV de Google. TrendAI ajoute d’éviter les boîtiers Android sans marque ou non certifiés. Pour les entreprises, il conseille de considérer les appareils grand public non gérés présents sur les réseaux domestiques comme faisant partie de la surface d’exposition. Krebs signale enfin que Synthient publie une liste des appareils concernés par modèle, utile pour vérifier un boîtier précis, avec une réserve de Synthient : « un nom de modèle seul ne suffit pas à confirmer une compromission » (traduit par nos soins).
Sources
- Google Threat Intelligence Group — Shutting the Door on the XCPE Botnet (2 novembre 2026)
- TrendAI Research — TrendAI™ Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes (2 novembre 2026)
- Krebs on Security — Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies (2 novembre 2026, mis à jour le 5 novembre 2026)
- The Register — Cops bust botnet of 1.3M infected Android TV boxes, Jessica Lyons (2 novembre 2026)
Image de fond de la vignette : Oculus.Obscura, CC BY 2.0, via Wikimedia Commons.