Dans cet article Dans cet article
- Un fabricant agréé qui piégeait ses propres boîtiers
- Ce que la porte dérobée permettait de faire
- BadBox 2.0 et XCPE : deux affaires, une différence de taille
- Une certification qui ne suffit plus
- 170 ou 200 pays : un réseau difficile à cartographier
- Ce que Google conseille, et ce qu’il ne dit pas
- Le salon, nouveau maillon faible du foyer connecté
Acheter une box Android TV certifiée par Google ne protège plus de tout. Le 2 novembre 2026, Google a annoncé le démantèlement de XCPE, un réseau de plus de 1,3 million de boîtiers télé infectés dès leur sortie d’usine, et il désigne comme responsable le fabricant lui-même, un constructeur pourtant agréé pour installer ses applications.
Un botnet, c’est un parc d’appareils piratés que des inconnus pilotent à distance, à l’insu de leurs propriétaires, pour faire transiter du trafic, générer de faux clics publicitaires ou lancer d’autres attaques. Ces réseaux visaient jusqu’ici surtout des box bon marché sans aucun agrément. Que vaut encore le label Android certifié quand l’industriel qui le porte devient lui-même l’attaquant ?
Un fabricant agréé qui piégeait ses propres boîtiers
Dans le rapport publié par son équipe de renseignement sur les menaces, Google estime avec un haut degré de confiance que la porte dérobée a été développée et exploitée volontairement par Videostrong Technology, un fabricant de Shenzhen qui conçoit des box Android et des appareils pour d’autres marques. Le code n’était pas un accident, ni l’œuvre d’un employé isolé, selon les chercheurs.
Google a coupé les ponts avec l’entreprise et lui interdit, ainsi qu’à ses futures filiales, de fabriquer des appareils Android certifiés ou de fournir du logiciel à d’autres constructeurs agréés. Des poursuites ont visé les domaines et serveurs de commande, avec la police nationale japonaise, Lumen, HUMAN Security, Plume et Synthient. Selon Google, la coupure de ces serveurs prive aussi les pirates d’au moins 10 millions d’autres appareils compromis par une douzaine de familles de logiciels malveillants.
Ce que la porte dérobée permettait de faire
La porte dérobée tournait avec les droits du système Android lui-même, et le rapport de Google détaille des capacités qui dépassent largement la simple fraude publicitaire :
- installer des applications en silence, sans aucune action de l’utilisateur ;
- exécuter des commandes, capturer l’écran et simuler des frappes au clavier ;
- exfiltrer des données de l’appareil vers les serveurs des opérateurs ;
- désactiver la vérification des applications par Google Play Protect ;
- transformer le boîtier en relais résidentiel, qui prête votre connexion domestique à des inconnus.
Le plus gênant tient à la persistance du code. Désinstaller l’application malveillante ne sert à rien, car elle se réinstalle depuis une partition protégée au redémarrage suivant, d’après Help Net Security. Aucune manipulation à la portée d’un particulier ne permet donc de nettoyer un boîtier touché.
BadBox 2.0 et XCPE : deux affaires, une différence de taille
L’affaire rappelle immédiatement le réseau BadBox 2.0, qui avait transformé des millions de salons en relais pour cybercriminels. La comparaison des deux dossiers montre pourtant que le profil des appareils visés a changé :
| Critère | BadBox 2.0 | XCPE |
|---|---|---|
| Appareils infectés | Plus de 10 millions | Plus de 1,3 million |
| Système des boîtiers | Android open source figé en 2021, sans mise à jour | Appareils fabriqués par un constructeur Android certifié |
| Responsable désigné | Des opérateurs criminels | Le fabricant Videostrong Technology |
| Réaction | Alerte du FBI en juin 2025, plainte de Google en juillet 2025 | Démantèlement annoncé le 2 novembre 2026, fabricant banni |
BadBox 2.0 touchait des box IPTV vendues hors de tout circuit officiel, et le conseil le plus répandu consistait alors à privilégier un matériel doté de certifications vérifiables. XCPE retire une bonne partie de sa valeur à cette recommandation, puisque le danger venait cette fois de l’intérieur du programme de certification.
Une certification qui ne suffit plus
Le programme de certification Android repose sur des tests menés par Google avant la mise sur le marché, puis sur des contrôles une fois les appareils vendus. Les opérateurs de XCPE ont justement appris à passer sous ces radars, comme l’a reconnu la responsable des opérations de démantèlement chez Google :
Les opérateurs de XCPE ont sans cesse fait évoluer leurs configurations pour échapper aux détections de Google, avant comme après le lancement.
Charley Snyder, responsable des opérations de démantèlement au Google Threat Intelligence Group, dans un entretien accordé à CyberScoop publié le 2 novembre 2026
Selon KultureGeek, le code n’était chargé qu’après le premier démarrage, ce qui lui permettait de contourner les vérifications préalables à la commercialisation. Charley Snyder n’a pas précisé quand Google a découvert le botnet, ni comment son processus de contrôle des fabricants a été revu.
Pour l’acheteur, la leçon est inconfortable : le logo qui garantit la présence du Play Store ne garantit pas l’honnêteté de celui qui a écrit le micrologiciel. Help Net Security relève d’ailleurs que des installeurs exploitant une faille d’élévation de privilèges circulaient depuis août 2026.
170 ou 200 pays : un réseau difficile à cartographier
L’ampleur géographique du botnet varie selon les sources. D’après les chercheurs de TrendAI cités par CyberScoop, XCPE s’étendait sur plus de 170 pays, avec des concentrations en Malaisie, au Brésil, en Irak, au Mexique et à Taïwan, et environ 44 000 appareils aux États-Unis entre juin et octobre. The Register évoque de son côté plus de 200 pays.
L’écart ne change pas le constat, mais il dit la difficulté de compter un parc aussi mouvant. The Register relève aussi 3,8 millions d’adresses IP distinctes connectées au réseau entre le 3 juin et le 1er octobre, un chiffre près de trois fois supérieur au nombre de boîtiers, que les sources n’expliquent pas en détail. La France ne figure pas parmi les pays cités, ce qui ne veut pas dire qu’elle est épargnée.
Ce que Google conseille, et ce qu’il ne dit pas
Google recommande d’acheter ses boîtiers auprès de fabricants réputés, de ne télécharger que depuis des boutiques de confiance, de garder Play Protect actif et de fuir les applications qui proposent de l’argent contre votre bande passante inutilisée. Ces logiciels sont, selon lui, l’une des principales portes d’entrée des réseaux de relais illicites.
Ce que le rapport ne fournit pas, en revanche, c’est la liste des marques ou des modèles concernés. Videostrong fabriquant pour d’autres enseignes, le nom inscrit sur votre boîtier ne dit rien de celui qui en a écrit le logiciel, et aucun outil de vérification n’a été proposé aux particuliers.
Le salon, nouveau maillon faible du foyer connecté
Le téléviseur et ses accessoires sont devenus des ordinateurs à part entière, avec un accès permanent au réseau domestique. Les relevés publiés en septembre sur ce que les téléviseurs LG envoient à leur régie publicitaire l’avaient déjà montré, et XCPE pousse la logique jusqu’au bout avec un boîtier qui ne vous appartient qu’en apparence.
Le bannissement de Videostrong règle le cas d’un fabricant, pas celui des 1,3 million de boîtiers déjà installés, qui continueront de fonctionner sans correctif possible. Tant que Google ne publie pas de liste des modèles touchés, une box Android TV de premier prix sans marque reconnue reste un pari, et isoler ces appareils sur un réseau Wi-Fi invité devient un réflexe plus sûr que la confiance dans un logo.
