Google démantèle XCPE : 1,3 M de TV Android en botnet proxy

Ce qui s'est passé

Google a annoncé début novembre 2026 le démantèlement du botnet XCPE, une opération de grande envergure qui avait infecté plus de 1,3 million de décodeurs Android TV dans le monde entier. Le fabricant à l'origine de la compromission, Videostrong Technology Co., une entreprise chinoise spécialisée dans la production de décodeurs TV sous licence Android, s'est révélé être non pas une victime mais l'opérateur délibéré du dispositif malveillant. Google a conclu, avec haute confiance, que le backdoor et le botnet avaient été intentionnellement développés, déployés et exploités par Videostrong Technology à des fins financières.

L'opération XCPE reposait sur un malware préinstallé dans le firmware des décodeurs TV avant leur distribution commerciale, constituant une attaque de supply chain classique mais d'une ampleur rarement observée dans le secteur des appareils grand public sous licence Android. Une fois les appareils branchés chez les utilisateurs finals — particuliers, hôtels, structures d'hébergement collectif — le malware contactait silencieusement les serveurs de commande et de contrôle (C2) de Videostrong et enregistrait l'appareil dans le réseau de proxies résidentiels XCPE. L'adresse IP de la victime, associée à sa connexion Internet domestique légitime, était ensuite louée à des tiers pour diverses activités frauduleuses.

Les deux principales activités monétisées par le botnet XCPE étaient la location de proxies résidentiels et la fraude publicitaire. Les proxies résidentiels sont des ressources très prisées sur les marchés criminels : contrairement aux proxies datacenter facilement détectables, les adresses IP résidentielles passent les filtres anti-fraude des plateformes publicitaires, des services de streaming, des systèmes de vérification d'identité et des plateformes e-commerce. La fraude publicitaire consistait à simuler des impressions et des clics sur des publicités numériques depuis les adresses IP des victimes, générant des revenus publicitaires frauduleux pour des réseaux contrôlés par les opérateurs du botnet.

L'échelle de l'opération est révélée par les chiffres détaillés par Trend Micro, partenaire de l'enquête : la firme a dénombré 1 472 554 appareils infectés, un chiffre légèrement supérieur à l'estimation conservatrice de Google qui évoquait "plus de 1,3 million". Au-delà des décodeurs TV, le même malware XCPE a été retrouvé dans d'autres catégories de produits Android embarqués : appareils de télésanté (téléassistance, moniteurs patients connectés), machines à karaoké connectées, et systèmes d'affichage dynamique (digital signage). Cette présence multi-catégories indique que Videostrong ou ses affiliés avaient étendu leur schéma au-delà du marché TV.

L'enquête a également mis en lumière les ramifications au-delà du seul botnet XCPE. Google indique que la neutralisation des domaines de commande et contrôle utilisés par les affiliés criminels de Videostrong a potentiellement coupé l'accès à au moins 10 millions de dispositifs compromis supplémentaires, dont une partie significative n'est pas basée sur Android. Cette estimation suggère que les opérateurs de XCPE avaient établi des partenariats avec d'autres groupes criminels exploitant des malwares distincts mais utilisant une infrastructure C2 partiellement partagée.

Pour mener à bien cette opération, Google a collaboré avec la police nationale japonaise (National Police Agency), ainsi qu'avec trois sociétés de cybersécurité : TrendAI (division IA de Trend Micro), Human Security et Synthient. Cette coopération internationale reflète la nature transnationale des opérations de botnet modernes et la nécessité d'une coordination multi-acteurs pour neutraliser efficacement les infrastructures criminelles distribuées. Les domaines C2 ont été saisis ou neutralisés en coordination avec les autorités japonaises, qui disposent d'une juridiction sur une partie de l'infrastructure technique utilisée.

Les réponses de Google à l'encontre de Videostrong sont sans précédent dans l'écosystème Android TV : révocation de la licence permettant la fabrication d'appareils Android TV avec les applications Google préinstallées, et interdiction permanente pour Videostrong et toute entité affiliée de produire des appareils Android certifiés. Cette sanction équivaut à une exclusion définitive de l'écosystème Android certifié, un coup économique majeur pour un fabricant dont le modèle commercial repose entièrement sur la certification Google Play Protect et la compatibilité Android.

Les utilisateurs possédant des décodeurs TV Android de marques peu connues ou vendus sous diverses marques white-label — pratique courante dans le secteur où de nombreux produits identiques sont commercialisés sous des dizaines de marques différentes — doivent considérer la vérification de la provenance de leur équipement. Les indicateurs de compromission XCPE documentés incluent une consommation de bande passante anormalement élevée en dehors des périodes d'utilisation active, des connexions réseau sortantes vers des plages IP inhabituelles, et un comportement système anormal (redémarrages intempestifs, lenteurs inexpliquées).

Pourquoi c'est important

L'affaire XCPE/Videostrong représente l'un des cas les plus documentés de backdoor intentionnel préinstallé par un fabricant sous licence dans l'écosystème Android. Elle s'inscrit dans une série d'incidents similaires — le botnet BadBox en 2023-2024 impliquait déjà des appareils Android TV avec malware préinstallé — mais se distingue par l'attribution directe et publique à un partenaire certifié Google. La décision de Google de nommer explicitement Videostrong et de révoquer sa certification envoie un signal fort sur la responsabilité des fabricants partenaires, même si cette sévérité ne s'est appliquée qu'après que l'échelle de la compromission est devenue indéniable.

Pour les entreprises et les professionnels de la sécurité, cette affaire rappelle que les appareils grand public connectés — décodeurs TV, cameras IP, assistants vocaux, appareils de télésanté — représentent une surface d'attaque sous-évaluée dans les inventaires d'actifs. Ces équipements sont rarement inclus dans les périmètres de surveillance EDR ou NDR, bénéficient de peu ou pas de mises à jour de firmware, et ne sont souvent pas cartographiés dans les architectures de sécurité réseau. Pourtant, sur un réseau d'entreprise, leur présence crée des points d'exfiltration silencieux difficiles à détecter sans une inspection approfondie du trafic réseau sortant.

La monétisation via les proxies résidentiels mérite une attention particulière dans le contexte des entreprises. Les adresses IP d'employés ou de visiteurs connectant leurs appareils personnels (BYOD) ou leurs appareils de divertissement sur le réseau d'entreprise peuvent se retrouver à relayer du trafic malveillant à l'insu de l'utilisateur et de l'équipe sécurité. Dans les hôtels, les bâtiments tertiaires et les espaces de coworking où des décodeurs TV sont déployés en grand nombre, le risque est systémique : chaque appareil Videostrong compromis représente un proxy résidentiel opérationnel accessible depuis l'infrastructure réseau de l'établissement.

Du point de vue de la réglementation sur la cybersécurité des produits connectés, cette affaire illustre exactement les risques que le Cyber Resilience Act européen (CRA) cherche à adresser. Le CRA, dont les exigences essentielles s'appliquent progressivement à partir de 2027, impose aux fabricants de produits connectés mis sur le marché européen de garantir l'absence de vulnérabilités intentionnelles ou exploitables dans leurs produits. La qualification de backdoor intentionnel retenue contre Videostrong par Google constituerait une violation directe des futures obligations CRA, avec des implications potentielles sur l'accès au marché européen pour les fabricants qui ne peuvent pas démontrer des pratiques de sécurité by-design.

Ce qu'il faut retenir

• Le botnet XCPE a transformé 1,3 million de décodeurs Android TV Videostrong en proxies résidentiels via un backdoor intentionnel préinstallé en usine — Google a révoqué définitivement la certification Android TV du fabricant.
• Le démantèlement de l'infrastructure C2 a potentiellement affecté jusqu'à 10 millions de dispositifs supplémentaires, révélant une infrastructure criminelle partagée entre plusieurs acteurs malveillants.
• Les organisations doivent auditer les appareils Android embarqués présents sur leurs réseaux et surveiller le trafic sortant anormal depuis les équipements IoT et de divertissement connectés.