Les boîtiers TV bon marché sous Android sont devenus l’une des portes d’entrée favorites des cybercriminels, et le dernier dossier en date montre que la menace peut venir du fabricant lui-même. Le 2 novembre 2026, Google a annoncé le démantèlement de XCPE, un botnet Android TV de plus de 1,3 million d’appareils répartis dans plus de 200 pays, dont la porte dérobée était installée dès l’usine par le constructeur chinois Videostrong Technology.
Un botnet désigne un réseau d’appareils piratés que des criminels pilotent à distance, à l’insu de leurs propriétaires. Celui-ci a été mis hors d’état de nuire par le groupe de renseignement sur les menaces de Google, avec la police nationale japonaise et plusieurs sociétés de cybersécurité, dont Lumen, HUMAN Security, Synthient et TrendAI.
Comment ce botnet Android TV fonctionnait-il ?
La porte dérobée était intégrée au micrologiciel des boîtiers, le logiciel interne qui démarre l’appareil, avant même leur mise en vente. Aucune action de l’utilisateur n’était donc nécessaire. Au démarrage, ses composants contactaient un serveur de commande pour recevoir des instructions, avec des droits complets sur le système.
Les opérateurs pouvaient ainsi installer des applications en silence, désactiver Google Play Protect (l’antivirus intégré à Android), lancer des commandes, capturer l’écran et les frappes au clavier ou collecter des données de compte. Les modules malveillants n’étaient chargés qu’après le premier démarrage, ce qui leur a permis de passer les tests de certification de Google.
Qui est derrière l’opération XCPE ?
Google attribue le réseau, avec un niveau de confiance élevé, à Videostrong Technology, un fabricant chinois de boîtiers Android, d’écrans et d’enceintes. L’entreprise aurait conçu et exploité elle-même la porte dérobée pour en tirer des revenus, en vendant l’accès aux appareils à des groupes criminels.
Ces affiliés exploitaient les boîtiers de plusieurs façons : revente de la bande passante des foyers comme proxys résidentiels (des relais qui masquent l’origine d’un trafic derrière une adresse de particulier), fraude publicitaire, vol de données et installation d’autres logiciels malveillants. La société de sécurité Synthient a remonté la piste après avoir découvert le code préinstallé sur un boîtier MECOOL KM9PRO Max acheté fin 2025.
Au-delà des 1,3 million de boîtiers XCPE, la coupure des serveurs a privé les criminels de l’accès à environ 10 millions d’autres appareils compromis, dont beaucoup ne fonctionnent pas sous Android.
Quelles sanctions Google a-t-il prises ?
Google a rompu ses relations avec Videostrong et lui a retiré sa licence pour fabriquer des appareils Android TV équipés des applications et services Google. Le fabricant et ses futures filiales ne pourront plus produire d’appareils Android certifiés, ni fournir de logiciels aux constructeurs certifiés.
L’entreprise a aussi engagé des actions en justice pour faire saisir les domaines utilisés pour contrôler le réseau, y compris ceux d’une douzaine d’autres familles de logiciels malveillants. Ce choix s’explique par la nature même du dossier : faute de pouvoir nettoyer les boîtiers à distance, couper leurs serveurs de commande rend la porte dérobée inopérante. Google a enfin annoncé un durcissement de ses contrôles de certification, notamment sur l’intégrité des micrologiciels.
Que faire si l’on possède un boîtier Android TV d’entrée de gamme ?
Le logiciel malveillant reste présent sur les appareils infectés, et une désinstallation ne suffit pas : il se réinstalle automatiquement depuis une partition système. Seule l’installation d’un micrologiciel sain le supprime complètement, et débrancher le boîtier d’Internet bloque toute activité malveillante.
Google n’a pas publié de liste complète des marques et modèles concernés, et n’a pas précisé s’il préviendrait les propriétaires. Aucune répartition par pays n’a été communiquée, ce qui ne permet pas de mesurer l’exposition des foyers français. Ce dossier rappelle d’autres attaques récentes contre les objets connectés, comme le piratage des frigos de supermarchés en Europe, ou contre les boutiques d’applications, avec le réseau de 400 applis de deepfake révélé le même jour.
Videostrong n’a pas réagi publiquement. La prochaine étape dépend désormais des mises à jour de micrologiciel que publieront, ou non, les marques qui ont commercialisé ces boîtiers.
