Google démantèle XCPE, le botnet de 1,3 million de box Android TV infectées par leur propre fabricant

Fin octobre 2026. Google et des partenaires industriels démantèlent le backdoor XCPE, qui a enrôlé plus de 1,3 million de boîtiers de streaming dans un botnet. 2 novembre 2026. L’annonce tombe : le botnet a été développé, déployé et exploité pour le profit par Videostrong Technology Co., un fabricant Android certifié. 2 novembre 2026, toujours. Google coupe les ponts avec Videostrong et lui interdit de fabriquer des appareils préchargés avec ses applications. L’essentiel tient en une phrase : des box Android TV certifiées, donc réputées sûres, revendaient en silence la bande passante de leurs propriétaires comme nœuds de sortie de proxy résidentiel.

Pour un RSSI ou un responsable réseau, ce n’est pas un fait divers de plus. C’est la preuve que la certification d’une plateforme ne garantit rien sur le fabricant qui l’intègre — et que la menace de la chaîne d’approvisionnement a changé de nature : ce n’est plus un insider isolé, c’est un modèle économique.

Ce qu’est XCPE

XCPE — aussi nommé x.cpe — est un backdoor préinstallé dans le firmware de box Android TV vendues sous de nombreux modèles et marques, pendant plusieurs années. Sa particularité, soulignée par Google, est d’avoir infecté des appareils certifiés Google, ce qui est inhabituel : les programmes de certification imposent des tests de compatibilité et de sécurité censés filtrer ce type de code.

Videostrong a contourné ces tests par obfuscation : le code malveillant n’était pas présent au premier démarrage, mais chargé après, exploitant une faille dans le processus de contrôle. La certification portait donc sur un état de l’appareil qui cessait d’exister dès la mise en route réelle.

Google évalue avec une confiance élevée que le backdoor et le botnet ont été « intentionnellement développés, déployés et exploités pour un gain financier » par Videostrong, un OEM et ODM Android. La formule choisie — « ce n’était ni un insider isolé ni un oubli de développement » — est rare sous la plume d’un éditeur de plateforme.

Une architecture à trois étages

Depuis au moins fin 2024, Videostrong a fait évoluer son malware d’un simple dropper vers une architecture modulaire à trois étages, conçue pour la résilience et la monétisation multi-tenant.

Le backdoor primaire — x.cpe, tournant sous le nom com.oemservice dans certaines builds — opère au niveau de privilège android.uid.system et réside dans la partition firmware. Désinstallé par l’utilisateur, il se réinstalle automatiquement depuis la partition /oem/ au redémarrage, maintenant un accès système persistant. Le loader com.abc.nexus prend le relais : il déjoue l’analyse en sandbox et configure les modules de monétisation. Les modules de monétisation, développés par des entités tierces affiliées, transforment l’appareil en nœud de sortie de proxy résidentiel — Linkfog, AppSalt, NetNut —, en moteur de fraude publicitaire — CBOXTV, HiddenView —, ou chargent d’autres backdoors — Moyu, Spirit.

La communication suit un processus en deux temps : une requête HTTP initiale récupère la configuration dynamique, puis une connexion persistante MQTT reçoit les instructions — installations silencieuses, commandes shell arbitraires, captures d’écran, reconnaissance réseau. Les modules additionnels étaient hébergés en majorité comme releases sur des pages GitHub contrôlées par l’opérateur.

Ce que faisaient vraiment les box

La conséquence concrète est simple et invisible pour l’utilisateur. Un appareil infecté était offert comme mécanisme de distribution à tout un éventail d’acteurs criminels : fraude publicitaire, exfiltration de données, et surtout routage de trafic réseau malveillant à travers la connexion domestique de son propriétaire.

C’est le dernier point qui touche le réseau au sens strict. En tant que nœud de sortie d’un proxy résidentiel, la box prête son adresse IP domestique et sa bande passante pour relayer le trafic d’autrui — la technique classique pour contourner les blocages géographiques, commettre des fraudes au détail ou anonymiser des attaques. Le propriétaire paie la facture, assume la responsabilité apparente du trafic, et n’en sait rien.

Google a également perturbé les domaines de commande et contrôle des modules affiliés. Parce que ces filiales disposent de canaux de distribution diversifiés au-delà de XCPE, la coupure de leurs serveurs priverait d’accès « au moins 10 millions d’appareils compromis supplémentaires ».

Ce que Google a fait

Les actions de Google se déclinent en quatre volets : action en justice pour fermer les domaines et serveurs de contrôle de Videostrong ; action en justice contre les domaines C2 de plus d’une douzaine de familles de malware chargées en modules ; interdiction faite à Videostrong et à ses filiales futures de construire des appareils Android certifiés ou de fournir des logiciels à d’autres vendeurs certifiés ; et renforcement de la vérification d’intégrité du firmware des appareils Android TV certifiés.

L’opération a été menée avec l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI. Le message est double : d’une part, la plateforme punit le fabricant ; d’autre part, elle reconnaît que la perturbation ponctuelle ne suffit pas — backdoors, réseaux de fraude publicitaire et fournisseurs de proxys résidentiels forment une chaîne d’approvisionnement interconnectée qu’il faudra cibler en continu.

Ce qu’il faut faire maintenant

Il n’existe pas de correctif pour l’utilisateur final : le backdoor vit dans le firmware, et aucun paramètre ne le désactive. Les recommandations se déclinent selon le rôle.

Pour un particulier, identifier la box Android TV et son fabricant ; les appareils Videostrong ou leurs marques blanches doivent être isolés du réseau ou remplacés. Pour un réseau d’entreprise ou un FAI, inventorier les équipements Android TV connectés et surveiller le trafic sortant vers des courtiers MQTT inconnus ou des domaines de staging. Pour un responsable sécurité, intégrer ce cas à la modélisation de la menace de la chaîne d’approvisionnement : un fournisseur certifié n’est pas un fournisseur de confiance.

Verdict

L’affaire se juge moins au nombre de box qu’à ce qu’elle change : la certification d’une plateforme ne couvre plus le fabricant. Si vous déployez des équipements Android TV ou connectés en entreprise, traitez le firmware comme un risque à part entière et cartographiez ce qui tourne sous la couche de certification. Si vous êtes particulier, méfiez-vous des boîtiers bon marché qui se comportent bien mais consomment du réseau sans raison. La leçon dépasse Android : dans une chaîne d’approvisionnement, le maillon le plus faible n’est plus la faille qu’on corrige, c’est le fournisseur qui a fait de la compromission son modèle économique.

Références

• Google Cloud Blog — Shutting the Door on the XCPE Botnet (2 novembre 2026)
• Ars Technica — Google dismantles botnet secretly running on 1.3 million Android TV boxes
• BleepingComputer — Google disrupts million-device XCPE Android malware botnet, bans TV box maker
• SecurityWeek — Google Dismantles XCPE Botnet of 1.3 Million Android Devices