Box Android TV : Google accuse Videostrong d’avoir piégé 1,3 million d’appareils

Un fabricant a lui-même piégé ses boîtiers. C’est la conclusion d’un rapport du Google Threat Intelligence Group publié le 2 novembre 2026. L’équipe de Google chargée du suivi des menaces y décrit XCPE, un botnet de plus de 1,3 million de box TV sous Android, démantelé la semaine précédente avec des partenaires du secteur. Google dit estimer « avec un haut degré de confiance » que la porte dérobée a été développée, déployée et exploitée à des fins lucratives par Videostrong Technology, un fabricant basé à Shenzhen qui produit des appareils sous son nom et pour d’autres marques.

Selon le GTIG, il ne s’agit ni d’un employé isolé ni d’une erreur de développement : le code malveillant a été retrouvé dans de nombreux modèles et marques pendant plusieurs années, avec une infrastructure dédiée et des configurations régulièrement modifiées pour échapper à la détection.

D’après l’analyse de Google, l’application x.cpe, parfois nommée com.oemservice, est préinstallée dans le micrologiciel avec des droits système. Si l’utilisateur la désinstalle, elle se réinstalle automatiquement au redémarrage depuis une partition protégée de l’appareil. Elle communique avec les serveurs de commande des opérateurs et délègue l’exécution des modules à un chargeur séparé, conçu pour déjouer les analyses.

Videostrong vendait l’accès à ces box à des « affiliés » criminels, qui y chargeaient leurs propres modules, explique le GTIG. Ces modules transformaient les appareils en relais de proxy résidentiel, c’est-à-dire en points de sortie faisant transiter le trafic de tiers par la connexion du foyer, ou en outils de fraude publicitaire. D’autres installaient encore de nouvelles portes dérobées. Google indique avoir observé, au-delà des box TV, des appareils de télémédecine et des machines de karaoké infectés.

Google dit avoir engagé des actions en justice pour faire fermer les domaines et serveurs utilisés par Videostrong, ainsi que ceux de plus d’une douzaine de familles de logiciels malveillants diffusées via cette porte dérobée. Comme ces affiliés disposent d’autres canaux de distribution, la firme estime avoir coupé l’accès à au moins 10 millions d’appareils compromis supplémentaires.

Le groupe a aussi rompu avec Videostrong et lui interdit désormais, ainsi qu’à ses futures filiales, de fabriquer et vendre des appareils Android certifiés ou de fournir des logiciels à d’autres constructeurs certifiés. Google annonce enfin un renforcement des contrôles d’intégrité du micrologiciel des appareils Android TV certifiés.

Ce point est sensible : selon Frandroid XCPE touchait aussi des box certifiées, donc passées par les tests de Google, sans que l’entreprise précise combien. Le site explique que Videostrong a contourné ces tests en ne chargeant le code malveillant qu’après le premier démarrage. Frandroid relève aussi que, le 2 novembre, le site de Videostrong vantait encore une « Google Certified Android TV Box ».

Frandroid conseille de vérifier la marque de son boîtier, le code malveillant testant notamment s’il tourne sur une box Mecool, marque associée à Videostrong. Dans son propre rapport, la société de sécurité Synthient, qui a participé à l’enquête, rattache elle aussi les box Mecool à Videostrong et dit avoir trouvé la porte dérobée préinstallée sur un modèle KM9PRO Max acheté fin 2025.

Comme la porte dérobée se réinstalle d’elle-même, une simple désinstallation ne suffit pas, d’après l’analyse de Google. Celui-ci recommande d’acheter des box auprès de fabricants réputés et publie la liste de ses partenaires Android TV, rappelle Frandroid. L’affaire rappelle que les menaces visant Android ne passent pas toutes par des applications piégées, comme le malware RatHat récemment repéré sur smartphone : ici, le risque est livré d’usine.