Google démantèle XCPE, un botnet qui piégeait plus de 1,3 million de boîtiers Android TV dès l’usine

Une trahison au cœur de nos salons

C’est le genre de découverte qui fait froid dans le dos, même pour les habitués de l’actualité tech. Le 2 novembre 2026, le groupe de renseignement sur les menaces de Google a publié le rapport d’une enquête hors norme sur le démantèlement, opéré la semaine précédente, d’un vaste réseau d’équipements piratés. En général, quand un boîtier TV est infecté par un logiciel malveillant, c’est parce que son utilisateur a cliqué sur un lien louche ou installé une application douteuse pour récupérer des chaînes payantes. Mais cette fois, le scénario est bien plus pervers : le loup était déjà dans la bergerie avant même que le carton ne soit scellé. On parle de matériel certifié qui embarquait d’origine un programme malveillant. L’affaire touche directement la chaîne d’approvisionnement mondiale et montre jusqu’où certains fabricants peuvent aller par appât du gain.

Plus de 1,3 million de boîtiers sous contrôle distant

D’après le rapport détaillé publié par le groupe de renseignement sur les menaces de Google, plus de 1,3 million d’équipements ont été enrôlés dans ce botnet, baptisé XCPE par les chercheurs. Il fonctionnait dans l’ombre depuis de longs mois, voire plusieurs années. Google en attribue la conception et l’exploitation, avec un haut degré de confiance, à Videostrong Technology Co., un fabricant d’appareils Android qui produit du matériel pour de nombreuses marques.

Pour les analystes, il ne s’agit pas d’une simple erreur d’un ingénieur étourdi ni d’un bout de code oublié lors d’une mise à jour. C’est bel et bien une opération structurée, pensée pour rapporter de l’argent. Si les boîtiers TV représentent l’essentiel du parc infecté, d’autres appareils Android connectés ont aussi été touchés, comme des appareils de télésanté, des bornes de karaoké ou des écrans d’affichage dynamique, partout dans le monde.

Les dessous d’une porte dérobée indélogeable

Pour passer entre les mailles des contrôles de sécurité, le fabricant a fait preuve d’une certaine ingéniosité. Le programme malveillant, repéré sous les noms de paquet x.cpe ou com.oemservice, était préinstallé dans le firmware et tournait avec les privilèges système, le plus haut niveau d’accès sur Android. Sa ruse résidait dans son mode de déploiement : grâce à des techniques de dissimulation, le code malveillant n’était chargé qu’après le premier démarrage de l’appareil. De cette manière, les boîtiers franchissaient sans encombre les tests de compatibilité et de sécurité imposés par Google pour obtenir la certification Android TV.

Une fois en place, le logiciel assurait sa persistance : si l’utilisateur le désinstallait, la porte dérobée se réinstallait automatiquement depuis la partition /oem/ au redémarrage suivant. Un véritable sparadrap numérique, impossible à décoller par des moyens classiques.
Un marché noir d’accès et de services illégaux
Une fois la connexion établie avec les serveurs de contrôle, Videostrong ne gardait pas le réseau pour son seul usage : il en vendait l’accès à d’autres groupes criminels partenaires, qui chargeaient leurs propres modules malveillants sur les appareils. Chaque boîtier devenait ainsi une sorte de couteau suisse pour cybercriminels, capable d’exécuter diverses tâches en arrière-plan sans que l’image à l’écran ne laisse rien paraître :

• La transformation du boîtier en relais proxy résidentiel pour masquer l’adresse IP de pirates lors d’attaques ou de fraudes.
• La génération de faux affichages et de faux clics sur des publicités invisibles pour détourner des budgets publicitaires.
• L’installation silencieuse d’applications tierces non sollicitées, à l’insu de l’utilisateur.
• La capture d’écran à distance et l’analyse du réseau du logement.

Toutes ces activités tournaient en arrière-plan, utilisant silencieusement votre connexion internet et la puissance de calcul de votre boîtier pendant que vous regardiez tranquillement votre série préférée.

Une riposte internationale

Devant la gravité de la situation, la riposte a nécessité une coordination internationale. Google ne s’est pas battu seul dans son coin : il a travaillé avec des acteurs de la cybersécurité et des réseaux comme HUMAN Security, Lumen, Plume, Synthient et TrendAI, ainsi qu’avec l’Agence nationale de police du Japon. Google a engagé des actions en justice pour faire tomber les noms de domaine et les serveurs qui pilotaient le botnet, mais aussi les serveurs de plus d’une douzaine de familles de malwares chargées via cette porte dérobée.

Cette action coup de poing a permis de paralyser XCPE, mais elle a aussi eu un effet domino salutaire : Google estime avoir coupé l’accès à au moins 10 millions d’autres appareils compromis par ces malwares secondaires. Dans la foulée, l’entreprise a banni Videostrong, ainsi que ses éventuelles futures filiales, du programme de certification Android : elle ne pourra plus fabriquer ni vendre d’appareils certifiés, ni fournir de logiciels à d’autres fabricants certifiés. Google indique également avoir renforcé son processus de validation pour mieux contrôler l’intégrité du firmware des appareils Android TV certifiés.

Votre boîtier télé est-il concerné et que devez-vous faire ?

C’est évidemment la question que tout le monde se pose devant son téléviseur. Malheureusement, la réponse n’est pas très réconfortante. Si l’action des chercheurs a coupé la communication entre les serveurs des pirates et les boîtiers, le code malveillant, lui, reste présent dans le firmware des appareils déjà vendus. Un utilisateur lambda ne peut tout simplement pas nettoyer un firmware altéré à ce point.

Google ne publie pas de liste de modèles touchés. Si vous possédez un boîtier de marque peu connue ou un modèle sans marque acheté à bas prix sur une plateforme de commerce en ligne, la prudence la plus élémentaire s’impose. Certains signes peuvent vous alerter, même s’ils ne constituent pas des preuves absolues :

• Une lenteur anormale de l’interface ou des plantages fréquents sans raison apparente.
• Une consommation de données réseau anormalement élevée alors que le boîtier est censé être en veille.
• L’apparition de fenêtres intempestives ou d’applications que vous n’avez jamais téléchargées.

Dans le doute, la solution la plus sûre reste malheureusement de débrancher l’appareil et de vous tourner vers du matériel de marques reconnues, figurant sur la liste officielle des partenaires certifiés Android TV (android.com/certified/partners).

Une prise de conscience nécessaire pour le matériel connecté

Au-delà de la prouesse technique des équipes de sécurité, cet épisode est particulièrement préoccupant pour les objets connectés. On savait depuis longtemps qu’un mot de passe trop simple ou l’absence de mise à jour pouvait exposer un appareil, mais voir un fabricant certifié détourner sciemment ses propres produits pour monter une escroquerie mondiale est une étape de plus. L’opération de démantèlement montre la force des alliances entre le secteur privé et les autorités pour stopper les nuisances à grande échelle. Mais elle rappelle aussi une réalité brutale : une fois qu’un produit vérolé est installé dans votre salon, couper les tuyaux à distance ne suffit pas à le rendre sain. La vigilance au moment de l’achat reste votre meilleure ligne de défense.