Le piège n'était pas un maliciel téléchargé par distraction, ni une faille exploitée à distance : il se trouvait dans le boîtier avant même que l'acheteur ne le branche. Au début de novembre, Google a levé le voile sur XCPE, un réseau de machines zombies bâti, selon son équipe de renseignement sur les menaces, par le fabricant lui-même.
Ce que Google a annoncé
Le Groupe de renseignement sur les menaces de Google (GTIG) a publié son rapport lundi 2 novembre. Selon le site spécialisé CyberScoop, Google et plusieurs partenaires ont démantelé un réseau qu'un fabricant d'appareils Android agréé avait délibérément déployé sur plus de 1,3 million de boîtiers de télévision.
Le fabricant en cause est Videostrong Technology, une société établie à Shenzhen, en Chine, qui conçoit des appareils vendus sous différentes marques. Le GTIG affirme, selon BleepingComputer, avoir « une grande confiance » que la porte dérobée et le réseau ont été développés, déployés et exploités à des fins lucratives par cette entreprise. Il s'agit d'une attribution de Google, pas d'un jugement ni d'une condamnation, et il faut le garder en tête.
L'opération a réuni, d'après Yahoo Tech, Google, l'Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI. Le dossier circule en portugais sous le titre repris par O Globo : plus de 1,3 million d'appareils infectés, dont une forte proportion au Brésil.
Comment fonctionnait XCPE
Contrairement à la plupart des réseaux de machines zombies, qui piègent les appareils par des failles ou en incitant l'utilisateur à installer un logiciel, XCPE était intégré au micrologiciel pendant la fabrication, rapporte BleepingComputer. Le composant principal, nommé x.cpe ou com.oemservice, s'exécute avec les privilèges du système.
Ses capacités, énumérées par le site, sont étendues : installer des applications en silence, désactiver Google Play Protect, exécuter des commandes, saisir des captures d'écran, simuler des frappes au clavier, collecter des informations de compte et cartographier le réseau domestique.
Videostrong ne se contentait pas d'exploiter lui-même la brèche. Selon Cybernews, il la monétisait en vendant l'accès à des affiliés criminels, qui chargeaient leurs propres modules sur les boîtiers. Ces modules servaient surtout à transformer la connexion Internet du domicile en « proxy résidentiel » : le trafic de clients inconnus transite par la ligne de la victime, de sorte que l'activité frauduleuse semble provenir d'un foyer ordinaire. D'autres modules simulaient des visionnements de publicités. Google a cité des services comme Linkfog, AppSalt/Honeygain, NetNut et Traffmonetizer.
Les victimes ne se limitent pas aux téléviseurs. Google a aussi observé le code sur des appareils de télésanté, des machines à karaoké et de l'affichage numérique.
Un trou dans la certification Android
C'est l'élément le plus embarrassant pour l'entreprise de Mountain View. Videostrong n'était pas un fabricant anonyme : il détenait la certification qui autorise les appareils à embarquer les applications et services de Google. Cette certification exige de réussir des tests de compatibilité et de sécurité.
Selon The Next Web, le fabricant a exploité « une faille dans nos tests », selon les mots de Google, en chargeant le code malveillant après le premier démarrage, donc après les vérifications. Google dit avoir modifié son processus d'examen et renforcer le contrôle de l'intégrité du micrologiciel des appareils Android TV certifiés.
Sur le plan des sanctions, Google a rompu sa relation avec Videostrong, révoqué sa licence et interdit à l'entreprise ainsi qu'à ses futures sociétés affiliées de produire des appareils Android certifiés ou de fournir des logiciels à des fabricants certifiés, précise BleepingComputer.
Le Brésil, parmi les plus touchés : ce que disent vraiment les chiffres
Le titre d'O Globo parle d'un Brésil au deuxième rang. Les autres sources consultées sont plus prudentes sur le classement exact. Sempreupdate, qui s'appuie sur le rapport, indique que 1 472 554 appareils infectés ont été comptés entre le 3 juin et le 1er octobre 2026, répartis sur 206 modèles et plus de 170 pays. Le Brésil figure parmi les cinq pays les plus touchés, avec la Malaisie, l'Irak, le Mexique et Taïwan, mais ce relevé ne donne pas de chiffre consolidé pour le marché brésilien.
Selon Cybernews, qui cite Synthient, la présence est la plus forte en Malaisie, au Mexique et au Brésil, avec aussi des victimes aux États-Unis, en Chine et en Allemagne. Synthient estime par ailleurs qu'environ 500 000 appareils seulement sont actifs chaque jour, et qualifie le chiffre de 1,3 million de prudent. En résumé : le Brésil est solidement dans le peloton de tête, mais son rang précis dépend de la méthode de comptage.
Ce n'est pas une surprise. Tecnoblog rappelle que les boîtiers de télévision pirates sont un problème ancien dans ce pays, où l'agence des télécommunications Anatel a mené 110 opérations de blocage en 2025, visant 28 190 adresses IP et 5 420 URL. Ces boîtiers bon marché, souvent achetés pour accéder gratuitement à du contenu, forment un terreau idéal pour ce type de réseau.
Le chiffre de 10 millions, à lire avec précaution
Google avance que la mise hors service des domaines de commande des affiliés coupera l'accès à au moins 10 millions d'appareils compromis supplémentaires. Ce chiffre ne signifie pas que dix millions de boîtiers étaient infectés par XCPE. Selon BleepingComputer, ces appareils ont été piégés par d'autres moyens et ne sont pas tous des appareils Android. Il s'agit d'une estimation de Google elle-même, non vérifiée de manière indépendante.
Les serveurs sont tombés, pas le code
L'opération a visé l'infrastructure, pas les appareils. D'après BleepingComputer, le maliciel n'a pas été retiré des boîtiers infectés et se réinstalle automatiquement depuis la partition /oem/ si on le supprime. Pour s'en débarrasser, il faudrait installer un micrologiciel sain ou débrancher l'appareil d'Internet. TrendAI estime que le propriétaire ne peut pas l'enlever lui-même, car il s'exécute comme une application système signée avec la clé du fabricant, rapporte The Next Web.
Synthient va plus loin, selon Cybernews : elle conseille de se départir définitivement des appareils touchés et de changer les mots de passe du Wi-Fi. Elle a publié une liste de 182 noms de modèles repérés dans la campagne, tout en précisant qu'un nom de modèle ne prouve pas à lui seul qu'un boîtier est infecté. La marque MECOOL est associée à Videostrong, et l'enquête de Synthient est partie d'un MECOOL KM9PRO Max acheté fin 2025.
Google, de son côté, recommande d'acheter des boîtiers chez des fabricants réputés et de laisser activées les protections intégrées comme Play Protect.
Une filiation avec BadBox
XCPE s'inscrit dans une série. En juillet 2025, Google avait déposé une plainte contre 25 entités inconnues, présumées établies en Chine, au sujet de BadBox 2.0, un réseau de plus de 10 millions d'appareils non certifiés, rapportait The Hacker News. Les infections de BadBox étaient surtout signalées au Brésil, aux États-Unis, au Mexique et en Argentine. Le FBI avait émis une alerte sur ces appareils piégés en usine ou lors de leur configuration.
Google estime, selon Cybernews, que l'évolution de XCPE a probablement été accélérée par les mesures prises contre BadBox, plusieurs modules malveillants ayant déjà été liés à cette entreprise criminelle.
La différence est de taille : BadBox visait surtout des appareils non certifiés, fonctionnant avec la version libre d'Android (AOSP), sans les protections de Google. Avec XCPE, le fautif est un partenaire certifié. Les boîtiers à bas prix sans marque sont depuis longtemps une source connue de maliciels préinstallés, souligne Cybernews. Mais le label de Google n'était plus, ici, une garantie suffisante.
Ce qui change, et ce qui ne changera pas
Google prévient lui-même que le marché illicite est résilient : selon Cybernews, les opérateurs de portes dérobées, les réseaux de fraude publicitaire et les fournisseurs de proxys résidentiels forment une chaîne d'approvisionnement interconnectée, et quand un maillon tombe, les opérateurs se tournent vite vers d'autres chargeurs ou kits de monétisation. L'entreprise appelle à plus de redevabilité tout au long de la chaîne matérielle, en demandant aux détaillants, distributeurs et fournisseurs de télécommunications d'exiger des audits de sécurité indépendants auprès des fabricants.
Pour le grand public, le message est moins confortable qu'il n'y paraît. La plupart des propriétaires de boîtiers de marque établie ne sont probablement pas concernés, mais les acheteurs de modèles bon marché sans marque le sont peut-être, sans aucun moyen simple de le savoir. Faute de procédure de nettoyage fournie par Google, la seule issue sûre pour un appareil identifié reste de le remplacer.
Le dossier rappelle surtout une limite structurelle : la sécurité d'un appareil connecté dépend de la bonne foi de chaque maillon de sa fabrication, et un contrôle effectué une seule fois, avant la mise en marché, peut être contourné par un fabricant décidé à tricher.