Google annonce le démantèlement de XCPE, un botnet constitué de plus de 1,3 million de boîtiers Android TV répartis dans plus de 200 pays. L’opération a été menée avec l’Agence nationale de la police du Japon et plusieurs entreprises spécialisées dans la cybersécurité, dont HUMAN Security et TrendAI. Selon les éléments communiqués par le groupe, les appareils concernés avaient été compromis avant même leur arrivée chez les utilisateurs.
Une porte dérobée intégrée avant la vente
Les investigations du Google Threat Intelligence Group mettent en cause Videostrong Technology Co., une entreprise chinoise basée à Shenzhen. Google affirme que le fabricant aurait ajouté au micrologiciel de ses boîtiers un composant identifié sous les noms x.cpe et com.oemservice. Cette porte dérobée bénéficiait de privilèges système élevés et pouvait donc fonctionner à un niveau difficilement accessible à l’utilisateur.
La persistance du programme constituait l’un des principaux problèmes. D’après Google, une suppression manuelle ne suffisait pas : le composant pouvait être réinstallé au redémarrage depuis une partition protégée. Le logiciel était ainsi présent dès la mise en service de certains appareils, sans qu’une installation ultérieure par l’utilisateur soit nécessaire.
« Nous avons trouvé ce logiciel malveillant intégré directement dans de nombreux modèles et marques d’appareils, sur plusieurs années. Nous pensons que cette campagne n’était pas le fait d’un employé isolé ni d’une erreur de développement », a déclaré Google.
Des commandes à distance et des fonctions désactivées
Une fois connectés à Internet, les boîtiers infectés entraient en relation avec une infrastructure de commande. Le dispositif reposait notamment sur un intermédiaire MQTT pour transmettre des instructions aux appareils. Son architecture modulaire permettait aux opérateurs de proposer l’accès au parc compromis à d’autres acteurs, dans le cadre d’un modèle présenté par Google comme lucratif.
Les capacités identifiées par les enquêteurs comprenaient l’installation discrète d’applications, l’exécution de scripts et la capture d’écran. Le logiciel pouvait également désactiver Google Play Protect, le mécanisme de sécurité intégré à Android. La structure technique du réseau était par ailleurs conçue pour évoluer régulièrement afin de compliquer sa détection.
| Élément | Informations communiquées |
|---|---|
| Nom du botnet | XCPE |
| Appareils concernés | Plus de 1,3 million de boîtiers Android TV |
| Étendue géographique | Plus de 200 pays |
| Composants identifiés | x.cpe et com.oemservice |
Google ferme l’infrastructure et sanctionne le fabricant
Pour interrompre le fonctionnement de XCPE, Google indique avoir pris le contrôle des serveurs utilisés pour piloter le réseau. L’entreprise a aussi annoncé la révocation de la licence de Videostrong et l’exclusion du fabricant de l’écosystème Android. Ces mesures s’ajoutent à la fermeture de l’infrastructure de commande, réalisée avec l’aide des partenaires associés à l’enquête.
Le cas XCPE souligne le risque particulier des appareils Android dont le micrologiciel est modifié avant leur commercialisation. Même lorsqu’un boîtier semble fonctionner normalement, une compromission intégrée à la fabrication peut échapper aux contrôles habituels et rendre les mesures prises après l’achat insuffisantes. Google ne fournit pas, dans les éléments communiqués, la liste des modèles et marques concernés ni de procédure destinée aux propriétaires de boîtiers touchés.
