- Google a perturbé XCPE, un botnet impliquant plus de 1,3 million de boîtiers Android TV infectés par des logiciels malveillants préinstallés.
- L’opération a bloqué l’accès à distance des criminels, mais la porte dérobée reste intégrée au firmware des appareils concernés.
- Aucun rappel spécifique à XCPE ni mise à jour de firmware propre n’a été identifié à ce jour, laissant les propriétaires chercher des solutions ou des remplacements auprès des vendeurs.
Google et ses partenaires ont perturbé XCPE, un botnet impliquant plus de 1,3 million de décodeurs Android TV, a annoncé l'entreprise le 2 novembre. Cette action a supprimé l'accès à distance des criminels aux boîtiers. Cependant, les logiciels malveillants restent cachés dans leur firmware.
Pour ceux qui ont acheté les boîtiers, la question est de savoir ce qui va se passer désormais. Un examen des conclusions issues de Google, TrendAI et Synthient, ainsi que de la page de garantie MECOOL le 3 novembre, n'a révélé aucune indication d'un rappel de produit lié à XCPE, d'une mise à jour du firmware propre ou d'un programme de remplacement massif mis en place. L'examen s'est limité aux documents rendus publics, sans inclure les réponses spécifiques de certains vendeurs.
Comment l'agent préinstallé « téléphonait » au serveur de commande
Le malware était livré avec l'appareil. Google a constaté que x.cpe, connu sous le nom de com.oemservice sur certains appareils, était préinstallé dans le firmware avec un accès au niveau du système. Même s'il est supprimé, il se réinstalle depuis la partition /oem/ après un redémarrage.
Une fois l'appareil allumé et connecté à Internet, l'agent préinstallé commençait à communiquer avec ses contrôleurs et à envoyer des commandes à com.abc.nexus ou à des chargeurs plus récents.
Les criminels pouvaient utiliser les messages MQTT pour installer des applications sans autorisation, exécuter des commandes et enregistrer l'écran. Selon TrendAI, l'application système est signée numériquement avec la clé du fabricant, ce qui compliquait la capacité des propriétaires à la supprimer.
Qui Google accuse
Google affirme être hautement convaincue que Videostrong a délibérément conçu et exploité un backdoor dans le but de générer des revenus. Le fabricant aurait dissimulé le code malveillant pour contourner les vérifications de certification d'Android.
En réponse, Google a banni Videostrong et ses filiales futures de la fabrication de dispositifs Android certifiés ou de la fourniture de logiciels aux vendeurs certifiés. Il a également renforcé ses contrôles sur les micrologiciels. L'Agence nationale de police du Japon et plusieurs entreprises de sécurité ont collaboré avec Google pour mener à bien cette opération.
Suivre l'argent jusqu'à la large bande domestique
L'arnaque exploitait les connexions internet domestiques pour générer des revenus. Les boîtiers TV infectés fonctionnaient comme des proxies résidentiels, offrant à d'autres un accès sans la connaissance des propriétaires des boîtiers infectés. De plus, les attaquants ont mis en œuvre des programmes de fraude publicitaire. Du 3 juin au 1er octobre 2026, TrendAI a surveillé 3,85 millions d'adresses IP de sortie résidentielles uniques.
Les connexions aux réseaux domestiques sont utiles aux criminels, car leurs activités semblent légitimes. Selon l'FBI, cela résulte de l'utilisation de proxies résidentiels qui font passer les criminels pour de simples consommateurs. Les annonceurs font face à des dangers similaires. DoubleVerify a détecté 140 % de fraudes supplémentaires sur la télévision connectée (CTV) au premier trimestre 2026 par rapport à l'année précédente. Toutefois, toutes ces arnaques ne relèvent pas de la catégorie XCPE.
Quels boîtiers, et ce que les propriétaires peuvent faire
Synthient a examiné un MECOOL KM9PRO Max et répertorié des chaînes de caractères correspondant au modèle, notamment KM9PRO_MAX, KM7PLUS et KD3. Une correspondance de nom seule ne prouve pas une infection.
La garantie de MECOOL propose des retours sous 30 jours et une couverture d’un an pour les problèmes de qualité, mais ne prévoit pas de recours spécifique à XCPE. Les propriétaires inquiets devraient déconnecter les boîtiers suspects et demander aux vendeurs une solution documentée ou un remplacement.
Pourquoi un C2 mort n'est pas la fin
Google a également ciblé les domaines de contrôle des affiliés, qu'il estime pouvoir couper l'accès à au moins 10 millions d'appareils compromis supplémentaires. Ceux-ci sont distincts des 1,3 million d'appareils liés à XCPE.
Le risque d’une résurgence est bien réel. Un précédent botnet Android TV a connu une croissance passant de 74 000 appareils en 2023 à plus de 10 millions en 2025, comme l’a rapporté Cryptopolitan.
Le marché est encore beaucoup plus vaste. Grand View Research prévoit un chiffre d’affaires mondial de la télévision connectée de 318,6 milliards de dollars en 2026. Pixalate évalue la part de Roku dans l’activité publicitaire programmatique CTV mondiale à 36 %. Aucune de ces deux figures ne mesure les pertes liées à XCPE.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Qu'est-ce que le botnet XCPE ?
XCPE est une porte dérobée préinstallée dans le firmware de plus de 1,3 million d'appareils Android, principalement des décodeurs TV et des vidéoprojecteurs, qui les a intégrés à un botnet utilisé pour la fraude publicitaire, le trafic de proxies résidentiels et le chargement de logiciels malveillants supplémentaires, selon Google.
Puis-je supprimer le logiciel malveillant avec une réinitialisation aux paramètres d'usine ?
Pas de manière fiable. TrendAI indique que l'implant s'exécute en tant qu'application système signée avec la clé du fabricant, donc sa suppression nécessite l'intervention du vendeur, une correction au niveau de la plateforme ou un nouvel appareil, et le FBI met en garde contre le fait que certains logiciels malveillants préinstallés persistent après une réinitialisation.
Selon Google, qui est responsable ?
Google estime avec une forte certitude que Videostrong Technology Co. a intentionnellement conçu et monétisé cette porte dérobée, et elle a banni définitivement l'entreprise ainsi que ses futures filiales de la fabrication d'appareils Android certifiés ou de la fourniture de logiciels aux vendeurs certifiés.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Micah Abiodun
Micah Abiodun met à profit son Master en Ingénierie et Gestion de l'Environnement (MSc) à l'Université de Technologie de Tallinn (TalTech) pour peaufiner ses articles sur les prévisions de prix et l'actualité à Cryptopolitan. Fort de sept années d'expérience dans les médias cryptographiques, il couvre les principales cryptomonnaies, les altcoins, la finance décentralisée (DeFi), les stablecoins, les tendances macroéconomiques et les technologies émergentes.
