Le fabricant chinois Videostrong, connu pour ses boîtiers MECOOL, installait en usine une porte dérobée dans les appareils Android TV qu’il produisait pour plusieurs marques, et louait à des cybercriminels l’accès à plus de 1,3 million d’entre eux.
Google a démantelé ce réseau de machines zombies la semaine dernière, avec l’Agence nationale de la police japonaise et cinq entreprises de cybersécurité. « Nous pensons que cette campagne n’est ni l’œuvre d’un employé isolé ni un oubli de développement », souligne son équipe de renseignement sur les menaces. Les chercheurs de Synthient ont en effet remonté la piste jusqu’au fabricant à partir d’un boîtier MECOOL KM9PRO Max acheté fin 2025. Sur un serveur des pirates accessible à tous, ils ont trouvé un document rédigé par le directeur de la recherche et développement de Videostrong. Le domaine officiel videostrong.cn pointait en outre vers l’adresse IP du serveur de commande des pirates, et les opérateurs signaient leurs portes dérobées avec des adresses e-mail de l’entreprise.
Des boîtiers loués à des réseaux de proxys et de fraude publicitaire
Videostrong a placé sa porte dérobée x.cpe dans une partition du micrologiciel, avec les privilèges du système Android. Le fabricant l’a programmée pour se réinstaller au redémarrage si l’utilisateur la supprime. Dès la mise sous tension, les pirates prennent la main sur chaque boîtier infecté par l’intermédiaire de leurs serveurs de commande. Ils installent des applications en silence après avoir désactivé Google Play Protect, et lancent des commandes avec les droits du système. Dans les échanges avec les appareils, Google a aussi relevé des captures d’écran en direct et des vols d’informations de compte.
Mais les opérateurs ont surtout utilisé ces accès pour installer les modules de leurs clients criminels. La plupart de ces modules viennent de fournisseurs de proxys résidentiels, dont Linkfog et NetNut. Ces entreprises font transiter par la connexion du foyer le trafic internet de leurs clients, à l’insu des propriétaires du boîtier. Les pirates installaient parfois trois logiciels de ce type sur un seul appareil, et pour Google, Videostrong voulait tirer le maximum de chaque boîtier infecté.
Avec d’autres modules, des fraudeurs chargent des pages web invisibles sur le téléviseur et cliquent sur des publicités à la place du spectateur. Les opérateurs installaient enfin Moyu et Bird, deux portes dérobées que les chercheurs avaient repérées dans le botnet BadBox 2.0. En coupant les serveurs de commande d’une douzaine de ces familles de logiciels malveillants, Google estime avoir privé leurs opérateurs d’au moins 10 millions d’autres appareils, contaminés par d’autres moyens. Des machines de karaoké et des appareils de télémédecine sont concernés.
Videostrong exclu de la certification Android
Pour vendre des boîtiers équipés des applications de Google, un fabricant doit soumettre ses appareils à une batterie de tests de compatibilité et de sécurité. Videostrong a déjoué ces contrôles en masquant son code et en chargeant les éléments malveillants après le premier démarrage, reconnaît Google, qui a corrigé sa procédure d’examen. Le fabricant faisait évoluer son logiciel au fil des mois. Fin 2024, peut-être en réaction aux premières actions de Google contre BadBox, il a sorti les modules malveillants de x.cpe pour les loger dans l’application com.abc.nexus. À partir d’août 2026, il a remplacé cette application par de petites applications déguisées en composants du système Android.
Pour Google, en infectant volontairement ses clients, Videostrong a commis un abus de confiance inacceptable. L’entreprise de Mountain View a rompu avec le fabricant et lui a retiré le droit de produire des appareils Android TV dotés de ses applications. Elle interdit aussi au groupe et à ses futures filiales de fabriquer des appareils certifiés ou de fournir des logiciels à d’autres fabricants agréés.
Google a coupé les boîtiers de leurs serveurs de commande, mais sans pouvoir effacer x.cpe des appareils vendus. Pour éliminer la porte dérobée, les propriétaires d’un boîtier infecté doivent installer un micrologiciel sain, ou à défaut le débrancher d’internet. Google ne publie ni la liste des modèles touchés ni le nombre d’appareils par pays. L’entreprise conseille d’acheter un boîtier auprès des fabricants de sa liste de partenaires Android TV, mais Videostrong détenait cette licence jusqu’à son exclusion. Google recommande aussi de fuir les applications qui proposent de l’argent en échange de votre bande passante inutilisée, car les réseaux de proxys recrutent ainsi de nouveaux appareils.
