Google démantèle un botnet de 1,3 million d'appareils Android
Google annonce avoir neutralisé XCPE, un botnet ayant enrôlé plus de 1,3 million d'appareils Android, principalement des boîtiers TV. Le groupe accuse le fabricant Videostrong d'avoir intégré une porte dérobée dans ses équipements pour les monétiser à l'insu des utilisateurs.
Google annonce avoir démantelé, avec plusieurs partenaires, le botnet XCPE, qui avait enrôlé plus de 1,3 million d'appareils connectés à travers le monde. Dans une analyse publiée par son équipe Threat Intelligence, le groupe attribue avec un degré de confiance élevé cette opération au fabricant d'équipements Android Videostrong Technology, qu'il accuse d'avoir intégré intentionnellement un logiciel malveillant dans ses appareils.
Le botnet touchait principalement des boîtiers Android TV, mais les chercheurs ont également identifié des infections sur d'autres équipements connectés, notamment des dispositifs de télésanté, des machines de karaoké et des systèmes d'affichage numérique.
Une porte dérobée intégrée dès la fabrication
Le logiciel malveillant, baptisé x.cpe, était préinstallé dans le firmware de plusieurs modèles et marques d'appareils. Disposant de privilèges système, il pouvait se réinstaller automatiquement après un redémarrage, même si l'utilisateur avait tenté de le supprimer. Google a également identifié des techniques d'obfuscation destinées à contourner les contrôles de sécurité appliqués aux appareils Android certifiés.
Depuis fin 2024 au moins, le dispositif repose sur une architecture modulaire. La porte dérobée x.cpe communiquait avec les serveurs de commande et de contrôle, notamment via le protocole MQTT, tandis qu'un second composant, com.abc.nexus, se chargeait d'installer et d'exécuter les modules malveillants. Depuis août 2026, ce dernier aurait progressivement été remplacé par des loaders plus spécialisés, déguisés en applications système Android.
Ce dispositif permettait notamment d'installer silencieusement des applications, d'exécuter des commandes système, de capturer l'écran, de collecter des données et de désactiver les vérifications de Google Play Protect. Les opérateurs pouvaient également exfiltrer des informations sur les comptes et les appareils.
Ce contrôle des appareils était notamment exploité à des fins de monétisation. Selon Google, l'accès aux équipements compromis était proposé à des acteurs tiers. L'un des principaux usages consistait à transformer les appareils infectés en proxys résidentiels, permettant de faire transiter du trafic internet par la connexion des utilisateurs à leur insu. Un usage également observé récemment dans la campagne Doorway, qui exploitait notamment des routeurs compromis pour constituer une infrastructure de proxys.
L'analyse identifie plusieurs modules associés à cette activité, notamment Linkfog, AppSalt et NetNut. D'autres composants, comme CBOXTV et HiddenView, étaient utilisés pour générer artificiellement des impressions publicitaires ou des interactions avec des contenus en ligne.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
