Veille menaces / Campagne
XCPE : selon Google, un fabricant de box TV a intégré une porte dérobée dans 1,3 million d'appareils
Le Google Threat Intelligence Group dit avoir perturbé le botnet XCPE, composé de plus de 1,3 million de box Android TV dotées d'une porte dérobée préinstallée dans le firmware. Google estime avec un niveau de confiance élevé que le fabricant, Videostrong, l'a conçue et exploitée volontairement pour vendre l'accès à des affiliés criminels. Couper les serveurs des affiliés couperait l'accès à au moins 10 millions d'appareils de plus.
- Secteur
- Applis et appareils grand public
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- Videostrong
- Comment c'est arrivé
- Selon Google, la porte dérobée (x.cpe, parfois com.oemservice) est préinstallée dans le firmware et s'exécute avec des droits système. Si elle est désinstallée, elle se réinstalle depuis la partition /oem/ au redémarrage. Google indique que Videostrong a passé ses tests de certification et utilisé de l'obfuscation pour charger du code malveillant après le premier démarrage. Google estime avec un niveau de confiance élevé que le fabricant l'a fait volontairement et dans un but lucratif, et qu'il ne s'agit ni d'un employé isolé ni d'un oubli.[1][2] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Le but était la monétisation plus que le vol. Google indique que les appareils infectés servaient d'accès vendu à des affiliés criminels, qui y chargeaient des modules de proxy résidentiel, de fraude publicitaire et d'autres portes dérobées. Les opérateurs pouvaient aussi installer des applications en silence, désactiver Play Protect, exécuter des commandes shell, capturer l'écran et cartographier le réseau local, et ont exfiltré des informations de compte, d'appareil, des inventaires de paquets et des journaux système.[1][2] Vérifié le 8 nov. 2026
- Qui est touché
- Plus de 1,3 million de box, surtout Android TV. Google indique que la perturbation des serveurs des affiliés coupera l'accès à au moins 10 millions d'appareils de plus, et que la porte dérobée a aussi été vue sur des appareils de télésanté, des machines de karaoké et des affichages dynamiques. Synthient estime que l'échelle réelle est probablement plus élevée et situe environ 500 000 appareils compromis en ligne, surtout en Malaisie, au Mexique et au Brésil. Google a interdit à Videostrong de fabriquer et vendre des appareils Android certifiés. Le billet de Google ne dit pas si les propriétaires seront prévenus.[1][2][3] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
Chronologie
- Google publie son rapport. Elle a engagé une action en justice contre les domaines et serveurs de contrôle du botnet, rompu ses liens avec Videostrong et l'a exclue des appareils Android certifiés, avec l'aide de la police nationale japonaise, de Lumen, HUMAN Security, Plume, Synthient et TrendAI. [1][2]
- IT-Connect relaie les conseils de Synthient : une réinitialisation d'usine ne retire pas la porte dérobée, cesser d'utiliser le matériel touché, surveiller le DNS pour szbboys[.]com et anyevonline[.]com et le trafic sortant sur les ports 3885 à 3887. [3]
- Krebs on Security ajoute qu'Oxylabs, dont le logiciel de proxy figurait parmi les modules, dit avoir suspendu sa relation avec le fournisseur et envoyé une demande juridique formelle. Aucune déclaration de Videostrong n'est rapportée. [2]