Contexte
Google a publié un rapport technique détaillé expliquant le démantèlement du botnet XCPE, qui avait infecté plus de 1,3 million d’appareils Android, principalement des box TV. Ces appareils louaient clandestinement la connexion de leurs propriétaires à des services de proxys résidentiels, servant ainsi à la fraude publicitaire.
Origine du malware
Le logiciel malveillant n’a pas été introduit par un pirate externe, mais était intégré directement dans le firmware par le fabricant chinois Videostrong. Ce dernier commercialisait ensuite l’accès aux box à des affiliés. Pour passer les tests de certification Android, Videostrong masquait le code malveillant et le chargeait discrètement au premier démarrage de l’appareil.
Action de Google et partenaires
Google a intenté des actions en justice contre les domaines et serveurs contrôlant le botnet, en collaboration avec la police nationale japonaise et les sociétés de sécurité Plume, Synthient et TrendAI. Le fabricant Videostrong et ses futures filiales ont été exclus de la fabrication d’appareils Android certifiés. La faille a été corrigée par Google, mais les appareils déjà vendus restent infectés.
Fonctionnement du botnet
Le composant x.cpe s’exécute avec des droits système depuis la partition firmware et se réinstalle automatiquement au redémarrage à partir de la partition /oem. Le code utilise le protocole MQTT sans chiffrement, ce qui permet à n’importe qui de publier des commandes exécutées par la box. Les mises à jour sont gérées via HTTP avec un fichier XML non signé ; une compromission du DNS du serveur peut alors prendre le contrôle de l’appareil. Le module LinkFog présent sur certaines TV relance ses tâches de façon autonome après chaque redémarrage.
Étendue de l’infection
Aucune marque spécifique n’a été exclue, car le malware a été détecté dans de nombreux modèles et marques : 206 modèles répartis dans plus de 170 pays. Parmi les appareils cités figurent les box MECOOL KM2 et KM9 Pro ainsi que la Strong Leap‑S1. Le parc comprend à la fois des appareils AOSP et des appareils certifiés Google, montrant que la certification ne garantit plus la sécurité.
Recommandations pour les utilisateurs
Plume recommande un réinitialisation d’usine complète, tandis que Synthient conseille de se débarrasser définitivement des box concernées, estimées à haut risque de contenir d’autres portes dérobées. Le simple reset peut ne pas suffire, le composant x.cpe étant implanté dans le firmware. Google a annoncé le bannissement du fabricant et le renforcement des contrôles de certification pour éviter de futures infections. En attendant, Synthient suggère de débrancher les appareils suspects et de changer le mot de passe du réseau Wi‑Fi.
Conclusion
Si votre box figure sur la liste publiée, la mesure minimale consiste à la déconnecter du réseau, mais le remplacement de l’appareil reste la solution la plus sûre.
Source : Korben
Service
Création de site web professionnel sur mesure pour PME
Création de sites web modernes et sur mesure pour PME, entreprises et organisations à partir de 95 000 FCFA
À partir de 95 000 F CFADécouvrir le service
