XCPE : Google démantèle 1,3 M de box Android TV infectées

Ce qui s'est passé

Le 2 novembre 2026, le Google Threat Intelligence Group (GTIG) a annoncé la neutralisation du botnet XCPE, un réseau malveillant composé d'environ 1,3 million de box Android TV infectées. L'opération a mobilisé une coalition internationale comprenant l'Agence nationale de police japonaise (NPA), ainsi que les entreprises Lumen Technologies, HUMAN Security, Plume, Synthient et TrendAI. Cette coordination multipartite a permis de démanteler les serveurs de commande et de contrôle (C2) et d'obtenir des décisions de justice pour neutraliser les domaines associés.

L'élément le plus troublant de cette affaire n'est pas la taille du botnet — considérable, mais pas inédite — c'est l'identité du responsable. Google attribue directement la création et l'exploitation du botnet à Videostrong Technology, un fabricant chinois de décodeurs Android TV. D'après le GTIG, la backdoor à l'origine du botnet XCPE n'est pas le fruit d'une attaque externe sur la chaîne d'approvisionnement : elle aurait été intentionnellement intégrée dans le firmware des appareils avant leur commercialisation, et l'accès au réseau de machines zombies aurait été revendu à des tiers.

Le vecteur d'infection repose sur une porte dérobée installée au niveau du firmware. Les appareils infectés se connectent à des serveurs C2 pour recevoir des instructions et peuvent être utilisés comme proxies résidentiels — un service très prisé sur les marchés noirs pour masquer l'origine de trafic malveillant, contourner des géoblocages, ou mener des attaques par bourrage d'identifiants (credential stuffing). Plusieurs rapports, dont celui de Krebs on Security, indiquent que l'opérateur du botnet commercialisait explicitement l'accès à ce réseau de proxies résidentiels.

L'envergure géographique du botnet est significative. Les 1,3 million d'appareils confirmés représentent le cœur du réseau, mais certaines estimations évoquent un impact potentiel sur plus de 10 millions de systèmes en tenant compte de l'écosystème élargi. Les appareils concernés sont présents dans de nombreux pays, ce qui en fait un outil particulièrement attrayant pour des acteurs cherchant à dissimuler des activités malveillantes dans un trafic géographiquement diversifié.

En réponse, Google a pris plusieurs mesures correctives. L'entreprise a banni Videostrong Technology du programme partenaire Android, lui retirant la capacité de fournir des logiciels pour les appareils Android certifiés. Google a également renforcé ses processus d'audit des firmwares et modifié ses procédures de révision des fabricants. Par ailleurs, l'entreprise a notifié les principaux fournisseurs d'accès à Internet et les entreprises de cybersécurité afin qu'ils puissent bloquer les communications vers les serveurs C2 identifiés.

Un problème majeur subsiste néanmoins : malgré la neutralisation des serveurs de commande, le malware reste présent sur les appareils infectés chez les utilisateurs finaux. Les box continuent d'héberger la backdoor, même si elles ne peuvent plus recevoir d'instructions de leurs opérateurs. Cela signifie qu'elles pourraient être réactivées si de nouveaux serveurs C2 venaient à être déployés, ou exploitées à d'autres fins malveillantes. Les propriétaires de box Android TV bas de gamme — notamment les modèles non certifiés vendus sous des marques génériques — sont encouragés à vérifier l'origine de leurs appareils.

L'affaire rappelle une opération similaire : en mars 2025, Google et ses partenaires avaient déjà démantelé le botnet BadBox 2.0, qui opérait dans le même écosystème des box Android TV à bas coût. Le pattern se répète : des fabricants peu scrupuleux intègrent des backdoors dans des appareils destinés au marché grand public, puis monétisent l'accès au réseau constitué. La certitude « Google Certified » affichée sur certains emballages ne constitue visiblement pas une garantie suffisante, comme l'illustre le fait que le site de Videostrong présentait encore des produits avec ce label le 2 novembre, malgré le bannissement.

D'après The Register et Help Net Security, les enquêteurs ont découvert que le botnet XCPE avait été opérationnel pendant plusieurs mois avant sa détection. L'une des difficultés inhérentes à ce type d'attaque est que les appareils IoT grand public, contrairement aux ordinateurs professionnels, ne font généralement l'objet d'aucune supervision de sécurité par leurs propriétaires. Les victimes ignorent souvent que leurs appareils participent à des opérations malveillantes, leur seul indice étant une possible dégradation des performances ou une facture d'électricité légèrement plus élevée.

Pourquoi c'est important

Cette affaire illustre une menace émergente et difficile à contrer : la compromission délibérée de la chaîne d'approvisionnement matérielle. Dans les cas classiques de botnet, un acteur malveillant compromet des appareils déjà en circulation via des vulnérabilités logicielles. Ici, la backdoor était intégrée avant même la vente, par le fabricant lui-même. Cette configuration rend la détection exponentiellement plus difficile, car les indicateurs de compromission habituels — trafic anormal après une date précise, corrélation avec un exploit connu — ne s'appliquent pas.

Pour les entreprises qui déploient des environnements hybrides ou qui accueillent des appareils appartenant à leurs employés (BYOD), ce type d'incident représente un vecteur d'entrée difficile à gérer. Une box Android TV connectée au réseau domestique d'un collaborateur en télétravail peut constituer une passerelle vers le réseau d'entreprise. Les politiques de sécurité des endpoints ne couvrent généralement pas ces appareils périphériques, et les solutions EDR ne s'y déploient pas.

D'un point de vue réglementaire, l'affaire XCPE va alimenter le débat sur la responsabilité des fabricants d'appareils connectés. En Europe, le Cyber Resilience Act (CRA), dont l'entrée en vigueur est attendue en 2027, imposera des obligations de sécurité aux fabricants d'appareils IoT mis sur le marché européen. L'intégration délibérée de backdoors constituerait une violation flagrante de ces obligations et exposerait les fabricants à des sanctions significatives. Mais l'efficacité de ce cadre réglementaire dépendra de la capacité des autorités à détecter ces pratiques — ce qui, comme le montre cet exemple, prend des mois même avec les ressources de Google.

Enfin, cette opération soulève une question géopolitique plus large. Videostrong Technology est une entreprise chinoise. Dans le contexte des tensions actuelles entre les États-Unis, l'Europe et la Chine autour de la sécurité des technologies connectées — notamment les débats sur Huawei, TikTok ou DJI — ce type d'incident renforce les arguments des partisans d'une vigilance accrue à l'égard des équipements électroniques de grande consommation fabriqués par des acteurs à supervision insuffisante. Il ne s'agit pas d'accuser un pays entier, mais de reconnaître que certaines pratiques industrielles restent difficiles à auditer de l'extérieur.

Ce qu'il faut retenir

• Le botnet XCPE a infecté 1,3 million de box Android TV via une backdoor firmware délibérément intégrée par le fabricant Videostrong Technology, qui revendait l'accès au réseau.
• Malgré le démantèlement des serveurs C2 par Google et ses partenaires, les appareils infectés restent compromis et peuvent être réactivés à tout moment.
• Les DSI doivent bannir les box Android TV bas de gamme de leurs réseaux et sensibiliser les collaborateurs en télétravail aux risques des appareils IoT non certifiés sur leurs réseaux domestiques.