Google et plusieurs partenaires ont démantelé XCPE, une porte dérobée intégrée à plus de 1,3 million de boîtiers Android utilisés pour regarder la télévision ou diffuser des contenus. Ces appareils étaient transformés à l’insu de leurs propriétaires en membres d’un botnet servant à la fraude publicitaire, aux réseaux de proxy résidentiels et à l’installation d’autres logiciels malveillants.
XCPE, un botnet installé dès la fabrication
La particularité de XCPE est son origine. Selon le Google Threat Intelligence Group, le logiciel malveillant n’était pas simplement téléchargé après l’achat d’une application douteuse. Il était intégré au logiciel de plusieurs modèles de boîtiers de télévision Android au cours de leur fabrication.
Google attribue avec un niveau de confiance élevé le développement et l’exploitation de la porte dérobée à Videostrong Technology, un fabricant d’équipements et développeur de logiciels Android. L’entreprise aurait monétisé les appareils en vendant à des partenaires criminels la possibilité d’y charger leurs propres modules.
1,3 million ou 13 millions d’appareils ?
Deux chiffres apparaissent dans les informations sur l’opération et ne doivent pas être confondus. La porte dérobée XCPE a directement enrôlé plus de 1,3 million de boîtiers. En parallèle, Google a neutralisé les domaines de commande utilisés par plus d’une douzaine de familles de logiciels malveillants distribuées par les partenaires du réseau.
Ces modules disposaient également d’autres canaux de propagation, indépendants de XCPE. Google estime que la coupure de leurs serveurs de commande prive les opérateurs d’un accès à au moins 10 millions d’appareils supplémentaires. Il ne s’agit donc pas d’un unique botnet XCPE de 13 millions de machines, mais d’une opération ayant un impact beaucoup plus large sur plusieurs infrastructures reliées.
| Périmètre | Estimation de Google |
| Boîtiers directement enrôlés par XCPE | Plus de 1,3 million |
| Autres appareils affectés par la coupure des modules partenaires | Au moins 10 millions |
| Familles de malwares secondaires visées | Plus d’une douzaine |
Que faisaient les appareils infectés ?
Une fois actif, XCPE pouvait recevoir des instructions et installer des composants supplémentaires. Certains servaient à générer de faux affichages ou clics publicitaires. D’autres inscrivaient silencieusement la connexion internet du foyer dans un réseau de proxy résidentiel.
Un proxy résidentiel permet à un tiers de faire transiter son trafic par l’adresse IP d’un particulier. Pour les services visités, l’activité semble provenir d’une connexion domestique normale. Ce mécanisme peut servir à contourner des blocages, créer de faux comptes, mener des tentatives de fraude ou masquer l’origine d’une cyberattaque.
- Capturer des images de l’écran en direct.
- Injecter des frappes clavier.
- Extraire les informations de compte et les données de l’appareil.
- Inventorier les applications installées et récupérer les journaux système.
- Exécuter des scripts et commandes à distance.
- Ouvrir un accès inversé permettant à un opérateur de contrôler l’appareil.
Comment le malware échappait aux contrôles
Google impose normalement aux fabricants qui préinstallent ses applications une série de tests de compatibilité et de sécurité. Videostrong aurait utilisé de l’obfuscation et un chargement différé afin que le code malveillant ne soit activé qu’après le premier démarrage du boîtier. Cette méthode lui aurait permis d’échapper aux vérifications initiales.
La campagne s’est étendue sur plusieurs années et a touché différents modèles et différentes marques. L’infrastructure évoluait régulièrement pour éviter la détection. À partir d’août 2026, les chercheurs ont également observé de nouveaux paquets déguisés en applications système Android, signe d’une tentative d’adaptation.
Les mesures prises par Google
- Actions judiciaires pour neutraliser les domaines et serveurs contrôlant XCPE.
- Coupure des domaines de commande utilisés par les modules malveillants partenaires.
- Interdiction pour Videostrong et ses futures filiales de fabriquer des appareils Android certifiés avec des applications Google préinstallées.
- Renforcement du processus de contrôle de l’intégrité des firmwares Android TV.
- Partage d’informations avec les services de police et des entreprises de cybersécurité.
L’opération a associé Google à l’Agence nationale de police japonaise ainsi qu’à Lumen, HUMAN Security, Plume, Synthient et TrendAI. Google prévient cependant qu’une neutralisation ponctuelle ne suffit pas : les fournisseurs de proxy, les groupes de fraude publicitaire et les opérateurs de portes dérobées forment une chaîne qui peut rapidement reconstruire ses infrastructures.
Comment savoir si son boîtier Android est sûr ?
Un appareil compromis en usine peut fonctionner normalement et ne présenter aucun signe visible. Une consommation inhabituelle de bande passante, une surchauffe au repos, des applications inconnues ou des redémarrages inexpliqués peuvent néanmoins justifier une vérification.
- Privilégier les appareils Android TV certifiés provenant de vendeurs reconnus.
- Installer les mises à jour du système et des applications dès qu’elles sont proposées.
- Vérifier les applications installées et supprimer celles dont l’origine est inconnue.
- Désactiver le débogage ADB et l’installation depuis des sources inconnues.
- Éviter les boîtiers présentés comme « débridés » ou donnant gratuitement accès à des services normalement payants.
- Placer les objets connectés sur un réseau Wi-Fi séparé des ordinateurs professionnels et appareils sensibles.
- Remplacer un équipement qui ne reçoit plus de mises à jour ou dont le fabricant n’est pas identifiable.
Pourquoi les boîtiers bon marché attirent les cybercriminels
Les boîtiers de streaming restent allumés longtemps, disposent d’une connexion internet stable et sont rarement surveillés comme des ordinateurs. Leur propriétaire peut ne jamais ouvrir les paramètres de sécurité. Pour un réseau criminel, ils constituent donc des relais discrets et durables.
L’affaire XCPE rappelle que la sécurité d’un appareil commence avant son achat. Un prix très bas peut cacher un modèle économique reposant sur la publicité intrusive, la collecte de données ou, dans le pire des cas, l’exploitation clandestine de la connexion de l’utilisateur. La provenance du matériel, la certification et la durée des mises à jour doivent compter autant que ses caractéristiques techniques.
