Google démantèle un botnet fonctionnant à l'insu des utilisateurs sur 1,3 million de boîtiers Android TV, après qu'une société chinoise partenaire a transformé ces boîtiers en "gadgets espions"

Google a rompu ses liens avec Videostrong Co., un fabricant d’appareils Android basé à Shenzhen, après avoir accusé l'entreprise chinoise d'avoir intégré une porte dérobée dans plus de 1,3 million d'appareils, principalement des boîtiers Android TV. Cet accès a été vendu à des groupes criminels qui l'ont utilisé à des fins de fraude publicitaire, de vol de données et de réseaux de proxys résidentiels. Selon Google, Videostrong a utilisé des techniques d'obfuscation pour dissimuler le code malveillant et empêcher sa détection. Cette affaire a incité la firme de Mountain View à interdire à Videostrong de fabriquer ou de vendre des appareils Android certifiés, à démanteler l'infrastructure de commande et de contrôle du botnet, et à renforcer son processus d'évaluation des fabricants. Elle survient à un moment où les préoccupations concernant la sécurité de la chaîne d’approvisionnement des appareils connectés ne cessent de croître.

Android TV est un système d'exploitation destiné aux téléviseurs connectés et aux appareils de divertissement associés, notamment les barres de son, les décodeurs et les lecteurs multimédias numériques. Créé et développé par Google, il s'agit d'une distribution Android comportant des composants à code source fermé. Android TV propose une interface utilisateur conçue pour faciliter la découverte de contenus et la recherche vocale, l'agrégation de contenus provenant de diverses applications et services multimédias, ainsi que l'intégration avec d'autres technologies récentes de Google telles que Assistant, Cast et Knowledge Graph.

Google a révélé avoir rompu ses liens avec l'un de ses partenaires fabricants d'appareils Android après avoir découvert que cette société aurait intégré une porte dérobée secrète dans plus de 1,3 million d'appareils, permettant ainsi de les transformer en un gigantesque botnet et de les utiliser à des fins malveillantes à l'insu de leurs propriétaires.

Google a identifié le fabricant comme étant Videostrong Co, une société basée à Shenzhen qui produisait des appareils fonctionnant sous Android. Google a déclaré avoir désormais interdit à cette entreprise de fabriquer ou de vendre des appareils Android certifiés, ainsi que de fournir des logiciels pour ces derniers.


Les appareils Android ont été discrètement transformés en une plateforme criminelle

Google affirme que Videostrong a délibérément développé, déployé et exploité une porte dérobée permettant de contrôler à distance les appareils infectés à des fins lucratives. Les appareils compromis auraient été utilisés pour des activités telles que la fraude publicitaire, le vol de données et l'acheminement de trafic Internet non autorisé.

D'après les conclusions de Google, l'entreprise a monétisé cette porte dérobée en vendant l'accès à des groupes criminels, qui ont ensuite installé des modules malveillants supplémentaires sur les appareils affectés. Ces modules ont ensuite été utilisés pour intégrer les appareils à des réseaux de proxys résidentiels, commettre des fraudes publicitaires et diffuser d'autres logiciels malveillants.

Google a déclaré avoir neutralisé l'infrastructure de commande et de contrôle (C2) utilisée pour exploiter le botnet et coupé l'accès à des millions d'appareils compromis connectés via ce dispositif.

Google a découvert que ce logiciel malveillant était intégré directement dans de nombreux modèles et marques d’appareils depuis plusieurs années. La plupart des produits touchés étaient des décodeurs Android TV, mais le botnet a également infecté d’autres appareils IoT basés sur Android, notamment des appareils de télésanté, des machines de karaoké et des systèmes d’affichage numérique.

Le logiciel malveillant a été exploité à des fins lucratives

Selon Google, Videostrong a utilisé des techniques d’obfuscation pour dissimuler le code malveillant et empêcher sa détection. Le logiciel malveillant aurait été installé sur les appareils dès leur première mise en marche, ce qui rendait difficile pour les propriétaires de se rendre compte que leur matériel avait été compromis.

Google a déclaré que cette porte dérobée et ce botnet avaient été « développés, déployés et exploités intentionnellement à des fins lucratives », précisant que cette activité n'était pas le résultat d'une vulnérabilité logicielle exploitée accidentellement par des pirates.


Google adopte désormais un processus de contrôle plus strict pour les fabricants d’appareils Android

En réponse à cet incident, Google a déclaré avoir désactivé la porte dérobée et mis en place des modifications dans son processus de contrôle des fabricants d'appareils. L'entreprise a également mis fin à sa collaboration avec Videostrong et a exclu ce fabricant de l'écosystème Android certifié.

Cette affaire met en lumière les préoccupations croissantes concernant la sécurité de la chaîne d'approvisionnement des appareils connectés, d'autant plus que les appareils fonctionnant sous Android ne se limitent plus aux smartphones, mais s'étendent désormais aux téléviseurs, aux produits de santé et à d'autres équipements grand public et professionnels connectés à Internet.

Les failles de sécurité de la chaîne d’approvisionnement ne sont cependant pas la seule menace pesant sur les écrans installés dans les foyers. Selon un rapport du Center for Digital Democracy (CDD), les téléviseurs intelligents sont comme « des chevaux de Troie dans les domiciles des gens ». Les fabricants de téléviseurs connectés et les services de streaming auraient mis en place un dispositif de surveillance portant atteinte à la vie privée et à la sécurité des consommateurs. Ce constat est cohérent avec de précédentes révélations sur l’utilisation de ces appareils par des sociétés de marketing pour le ciblage publicitaire, et attire ainsi l'attention sur la responsabilité des utilisateurs face aux produits et services connectés.

Communiqué de Google

La semaine dernière, Google et ses partenaires du secteur ont neutralisé la porte dérobée XCPE, qui avait intégré plus de 1,3 million de décodeurs à un botnet. Nous estimons avec un haut degré de certitude que cette porte dérobée et ce botnet ont été intentionnellement développés, déployés et exploités à des fins lucratives par Videostrong Technology Co., un fabricant d’équipements d’origine (OEM) et un fabricant de conception d’origine (ODM) pour Android.

Videostrong a monétisé cette porte dérobée en vendant l’accès à des affiliés malveillants et en installant les modules malveillants de ces derniers sur les appareils infectés. Ces modules secondaires se livraient à de la fraude publicitaire, intégraient discrètement les appareils infectés dans des réseaux de proxys résidentiels et installaient des logiciels malveillants supplémentaires sur les appareils compromis par XCPE. Nous avons également pris des mesures pour perturber les domaines de commande et de contrôle (C2) qui gèrent ces modules affiliés. Étant donné que ces affiliés disposent chacun de canaux de distribution diversifiés pour leurs modules, au-delà de XCPE, nous estimons que la mise hors service de leurs domaines C2 coupera l’accès à au moins 10 millions d’appareils compromis supplémentaires.

Nous avons découvert que ce logiciel malveillant était intégré directement dans de nombreux modèles et marques d'appareils depuis plusieurs années, et qu'il s'appuyait sur une infrastructure dédiée ainsi que sur des configurations en constante évolution afin d'échapper à la détection et de gérer ses affiliés. Nous estimons que cette campagne n'était pas le fait d'un seul employé malveillant isolé ni d'une simple négligence lors du développement. En conséquence, Google a rompu ses liens avec Videostrong et lui a interdit de fabriquer des appareils sur lesquels les applications Google sont préinstallées.

Google exige des fabricants d’équipements d’origine (OEM) qu’ils se soumettent à une série complète de tests de compatibilité et de sécurité afin de garantir une expérience utilisateur cohérente et sûre dans l’ensemble de l’écosystème Android. Cependant, Videostrong a eu recours à des techniques d’obfuscation pour exploiter une faille dans nos tests et charger du code malveillant après le premier démarrage de l’appareil. En conséquence, Google a apporté des modifications à son processus de vérification existant afin de mieux se prémunir contre des activités similaires à l’avenir. Le fait qu’un fabricant d’appareils infecte intentionnellement ses utilisateurs avec des logiciels malveillants constitue un abus de confiance inacceptable et représente un risque grave pour ces utilisateurs. À l’insu et sans le consentement des utilisateurs, les appareils infectés ont servi de vecteur de diffusion pour un large éventail d’acteurs malveillants. Cela a conduit à la mise en œuvre de diverses activités malveillantes sur et via ces appareils, notamment la fraude publicitaire, l’exfiltration de données et l’acheminement de trafic réseau malveillant via ces appareils.

Nous avons travaillé en étroite collaboration avec l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI afin d’analyser cet écosystème de logiciels malveillants et de perturber ses activités.

Même si nous pensons que cette intervention aura un impact significatif sur ces activités criminelles, cela ne marque pas la fin de notre combat contre les activités malveillantes. Les opérateurs de portes dérobées, les réseaux de fraude publicitaire et les fournisseurs de proxys résidentiels fonctionnent comme une chaîne d’approvisionnement interconnectée. Les interventions ponctuelles constituent un outil essentiel pour protéger nos utilisateurs, mais pour perturber durablement cet écosystème en constante évolution, il faudra continuer à cibler cette infrastructure.

Google a pris les mesures suivantes pour contribuer au démantèlement du botnet XCPE :

• Une action en justice visant à faire fermer les domaines et les serveurs utilisés par Videostrong pour contrôler le botnet et installer des modules malveillants
• Une action en justice visant à faire fermer les domaines C2 utilisés par plus d’une douzaine de familles de logiciels malveillants chargés sous forme de modules via cette porte dérobée
• Interdiction faite à Videostrong, ainsi qu'à toutes ses futures filiales ou sociétés affiliées, de fabriquer et de commercialiser à l'avenir des appareils Android certifiés, ou de fournir des logiciels à d'autres fabricants certifiés
• Mise en œuvre d'améliorations visant à renforcer la manière dont nous garantissons l'intégrité du micrologiciel sur les appareils Android TV certifiés

Source : Google

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous les mesures prises par Google dans le cadre de cette affaire crédibles ou pertinentes ?

Voir aussi :

Votre Smart TV sait ce que vous regardez grâce à une technologie de reconnaissance automatique, ces données collectées sur vos habitudes de visionnage peuvent être partagées avec des tiers

Les fabricants de téléviseurs vont trop loin avec l'IA au CES 2026 : l'IA envahit les téléviseurs mais l'intrusion non consentie dans la vie privée des utilisateurs n'est pas du gout d'un juge

Il y a une raison simple pour laquelle votre nouveau téléviseur intelligent était si abordable, il collecte et vend vos données, selon un rapport