Une faille de sécurité structurelle affecte 1,3 million de boîtiers Android TV, dont le micrologiciel a été infecté en usine par le fabricant Videostrong. Cette compromission permet aux pirates de prendre le contrôle total des appareils, de dérober des informations sensibles et d'utiliser les connexions domestiques à des fins frauduleuses.
Une infection intégrée au micrologiciel
Le fabricant Videostrong a délibérément intégré une porte dérobée, baptisée x.cpe, directement dans la partition système des appareils. Cette architecture confère aux attaquants des privilèges élevés, leur permettant de contourner les protections natives comme Google Play Protect. La persistance du malware est assurée par une fonction de réinstallation automatique à chaque redémarrage du boîtier, rendant toute suppression par l'utilisateur inefficace. Une fois sous tension, les appareils se connectent à des serveurs distants, ouvrant la voie à l'installation silencieuse d'applications malveillantes et à la capture de données personnelles.
Détournement des connexions résidentielles
L'un des enjeux majeurs de cette opération réside dans l'utilisation des boîtiers comme relais pour des réseaux de proxys résidentiels, tels que Linkfog ou NetNut. À l'insu des propriétaires, le trafic internet de tiers malveillants transite par leur connexion domestique. Les opérateurs de ce réseau exploitent également les appareils pour générer des revenus publicitaires frauduleux, en chargeant des pages web invisibles sur les téléviseurs pour simuler des clics. Cette stratégie de monétisation agressive multiplie les logiciels malveillants sur une seule machine, maximisant ainsi le profit tiré de chaque unité infectée.
Un écosystème criminel étendu
L'analyse de Google révèle que cette infrastructure est liée à des menaces plus larges, notamment le botnet BadBox 2.0, dont les portes dérobées Moyu et Bird ont été identifiées sur ces boîtiers. L'impact dépasse le cadre du divertissement domestique : des équipements de télémédecine et des machines de karaoké figurent parmi les appareils contaminés. En neutralisant les serveurs de commande associés à ces familles de logiciels, Google estime avoir coupé l'accès à au moins 10 millions d'autres appareils infectés par des vecteurs différents, soulignant l'ampleur de cette menace persistante pour la sécurité des objets connectés.