Videostrong banni par Google : 1,3 million de box infectées d'origine

Google a rompu ses liens avec Videostrong Technology, fabricant chinois de box Android TV, après avoir démantelé avec des partenaires la porte dérobée XCPE. Selon le Threat Intelligence Group de Google, ce logiciel a enrôlé plus de 1,3 million de décodeurs dans un botnet. Le groupe conclut « avec un haut niveau de confiance » que Videostrong l'a développé, déployé et exploité dans un but lucratif. Il ne s'agirait donc ni d'un employé isolé ni d'une erreur de développement.

Un fabricant qui revendait l'accès aux appareils

Le modèle économique décrit est double. Videostrong vendait des box, puis monnayait l'accès aux appareils à des affiliés criminels, dont il chargeait les modules malveillants. Ces modules faisaient de la fraude publicitaire, transformaient les box en nœuds de réseaux de proxys résidentiels (le trafic d'autrui transite par la connexion du foyer) ou installaient d'autres logiciels malveillants. Un même appareil pouvait héberger jusqu'à trois kits de proxy, signe, selon Google, que l'entreprise cherchait à tirer le maximum de chaque machine.

« Un fabricant d'appareils qui infecte intentionnellement ses utilisateurs avec des logiciels malveillants constitue une rupture de confiance inacceptable », écrit Google (traduction) (Google Cloud Blog).

Techniquement, la porte dérobée x.cpe (parfois nommée com.oemservice) est préchargée dans le firmware avec des privilèges système. Si l'utilisateur la désinstalle, elle se réinstalle au redémarrage depuis la partition /oem/. Elle confie ensuite l'exécution à un chargeur, com.abc.nexus. Les commandes passent par une connexion MQTT, protocole de messagerie léger. Selon Security Affairs, les opérateurs pouvaient installer des applications en silence, lancer des commandes, faire des captures d'écran ou enregistrer les frappes. Ils pouvaient aussi désactiver la vérification de Google Play Protect. Google précise toutefois que l'essentiel de l'activité consistait à installer, retirer et configurer les modules.

Les box dominent largement, mais Google a aussi relevé des appareils de télésanté, des karaokés et des affichages dynamiques.

Une faille dans les tests de certification

L'affaire touche aussi Google. Ces box étaient vendues comme appareils Android « certifiés », ce qui laissait supposer qu'elles étaient sûres. Videostrong a employé de l'obfuscation pour exploiter une lacune des tests et charger le code malveillant après le premier démarrage. Google dit avoir modifié sa procédure de contrôle et renforcé la vérification de l'intégrité du firmware sur les appareils Android TV certifiés. Pour 9to5Google, le groupe reconnaît ainsi en partie un échec de son côté.

Le logiciel a évolué. Fin 2024, peut-être en réaction à une précédente action de Google liée à BadBox, les modules ont été sortis de x.cpe vers un paquet distinct. Depuis août 2026, de nouveaux droppers déguisés en applications système sont installés via le canal de commande, en phase avec la désinstallation massive de com.abc.nexus. Google y voit une possible nouvelle évolution pour échapper à la détection.

Sanctions, appareils concernés et limites

Google a obtenu une action en justice contre les domaines et serveurs de contrôle de Videostrong, ainsi que contre ceux de plus d'une douzaine de familles de malwares chargées comme modules. Ces affiliés diffusent aussi par d'autres canaux : Google estime donc que la mesure coupera l'accès à au moins 10 millions d'appareils compromis supplémentaires. Les deux chiffres sont ceux de Google. Videostrong et ses futures filiales ou affiliées ne peuvent plus fabriquer ni vendre d'appareils Android certifiés, ni fournir de logiciels à d'autres fabricants certifiés. Le Japon (Agence nationale de police), Lumen, HUMAN Security, Plume, Synthient et TrendAI ont participé.

Selon 9to5Google, Synthient a dressé une liste d'appareils potentiellement touchés, centrée sur la marque Mecool, qui aurait été rumeur de fermeture. Le média juge les box utilisables après la neutralisation des serveurs, mais suggère d'envisager d'autres options. Aucune source ne confirme toutefois le détail des modèles concernés ni la fermeture de Mecool.

TechRadar note que le cas diffère de celui des téléphones Doogee et Cubot, repérés le mois précédent par Bitdefender avec des malwares préinstallés : là, la chaîne d'approvisionnement avait été compromise à l'insu des fabricants. Le média rappelle qu'on ignore ce que Videostrong a gagné et qui a utilisé le botnet.

Google reste prudent sur la durée de l'effet. Fabricants de portes dérobées, réseaux de fraude publicitaire et fournisseurs de proxys forment une chaîne interconnectée, et quand un maillon tombe, les opérateurs basculent vite vers de nouveaux chargeurs ou kits concurrents. Le groupe demande aux revendeurs d'exiger des audits de sécurité indépendants et de retirer les fabricants impliqués. Il appelle aussi les particuliers à n'acheter des décodeurs que chez des fabricants reconnus, listés sur son site Android TV, et à garder Play Protect actif. Il dit que ce travail se poursuivra, sans calendrier.