Une faille de sécurité majeure a été identifiée au sein de plus de 1,3 million de boîtiers Android TV, transformant ces appareils domestiques en outils au service de réseaux cybercriminels. Le fabricant chinois Videostrong, responsable de cette compromission via une porte dérobée intégrée au firmware, a été banni de l'écosystème certifié par Google.
Une porte dérobée dissimulée dans le firmware
L'enquête, menée conjointement par Google et la société de cybersécurité Synthient, révèle l'existence d'un dispositif malveillant baptisé « x.cpe ». Ce logiciel, préinstallé directement dans le système des appareils, permet aux attaquants d'exécuter du code à distance, d'installer ou de supprimer des applications sans le consentement des utilisateurs. La persistance du code est telle qu'une simple réinitialisation ne suffit pas : la porte dérobée se réinstalle automatiquement au redémarrage de l'appareil à partir d'une copie cachée.
Un réseau mondial de proxys résidentiels
Les boîtiers infectés, commercialisés notamment sous les marques MECOOL et YOKATV, étaient largement distribués en Malaisie, au Mexique et au Brésil. Ces équipements servaient de relais pour du trafic internet tiers via des réseaux de proxys résidentiels, ou généraient de fausses vues publicitaires en arrière-plan. Selon les observations techniques, un seul boîtier pouvait faire fonctionner simultanément plusieurs modules malveillants, exploitant ainsi la connexion internet du propriétaire à son insu.
Sanctions et recommandations pour les utilisateurs
Face à l'ampleur de la menace, Google a pris des mesures radicales en interdisant à Videostrong, ainsi qu'à ses filiales et sociétés affiliées, de produire ou de fournir des logiciels pour des appareils Android certifiés. Parallèlement, des actions judiciaires ont été engagées pour neutraliser les serveurs de commande des attaquants. Cette opération pourrait permettre de couper l'accès à environ 10 millions d'appareils supplémentaires potentiellement infectés par les mêmes familles de logiciels malveillants.
Pour les particuliers possédant ces équipements, la situation est critique : la mise hors service des serveurs distants ne nettoie pas les boîtiers. Les experts recommandent donc de débrancher ces appareils et de cesser définitivement leur utilisation, la sécurité du matériel étant irrémédiablement compromise par la nature même de son firmware.