Botnet XCPE : selon Google, 1,3 million de boîtiers TV piégés à l'usine

Google a annoncé le lundi 2 novembre 2026 avoir démantelé le botnet XCPE, un réseau de plus de 1,3 million de boîtiers de streaming Android TV compromis. D’après le rapport publié ce jour-là par son Threat Intelligence Group (GTIG) et relayé par Bleeping Computer, ces appareils n’ont été piratés ni par une faille ni par une application piégée : la porte dérobée aurait été intégrée à leur micrologiciel dès la fabrication.

Un fabricant mis en cause et banni de l’écosystème Android

Google attribue ce botnet au fabricant chinois Videostrong Technology Co, avec un niveau de confiance qu’il qualifie d’élevé. L’entreprise est accusée d’avoir délibérément installé une porte dérobée persistante dans les appareils qu’elle produisait, puis d’avoir vendu l’accès à ces appareils à des affiliés criminels, dans un but lucratif. Ces accusations sont celles de Google : elles sont rapportées ici d’après son rapport, tel que relayé par Bleeping Computer.

Toujours selon Google, le logiciel malveillant a été retrouvé sur de nombreux modèles et sous plusieurs marques, sur plusieurs années. Il s’appuyait sur une infrastructure dédiée, et sa configuration changeait en permanence pour échapper à la détection.

Google a mis fin à sa relation avec Videostrong et révoqué sa licence de fabrication d’appareils Android TV livrés avec les applications et services Google. L’entreprise et ses futurs affiliés n’ont plus le droit de produire des appareils Android certifiés ni de fournir des logiciels aux fabricants certifiés.

Ce que permettait la porte dérobée

Le composant principal, identifié sous les noms x.cpe et com.oemservice, s’exécute avec les privilèges système d’Android. Au démarrage, l’appareil infecté contacte un serveur de commande sur le domaine anyevonline[.]com pour obtenir les identifiants d’un serveur de messagerie MQTT, hébergé à l’adresse mqtt.szbboys[.]com, par lequel il reçoit ses ordres.

Par ce canal, les opérateurs pouvaient installer des applications à l’insu de l’utilisateur, désactiver Google Play Protect, exécuter des commandes avec les privilèges système, faire des captures d’écran et simuler des frappes au clavier. Ils pouvaient aussi récupérer des informations de compte, les caractéristiques de l’appareil, la liste des applications installées et les journaux système, et mener des opérations de reconnaissance sur le réseau local.

Les affiliés déployaient ensuite leurs propres modules. Certains transformaient le boîtier en proxy résidentiel, faisant transiter le trafic internet de tiers par la connexion de son propriétaire, sans qu’il le sache ni l’ait accepté. D’autres faisaient de la fraude publicitaire en affichant des pages cachées et en cliquant sur des annonces. D’autres encore installaient des portes dérobées supplémentaires, nommées Moyu, Spirit et Bird.

Une opération plus large que XCPE

Le démantèlement a été mené avec l’Agence nationale de la police japonaise et les sociétés de sécurité Lumen, HUMAN Security, Plume, Synthient et TrendAI. Google indique avoir neutralisé des serveurs de commande utilisés par plus d’une douzaine de familles de logiciels malveillants apparentées, coupant l’accès à au moins 10 millions d’appareils supplémentaires. Ceux-là ont été compromis par d’autres voies que XCPE : décodeurs vendus en magasin, machines de karaoké, matériel de téléconsultation, et pas uniquement des appareils Android.

Comment savoir si votre boîtier est concerné

La source ne fournit pas de liste des marques ou modèles touchés. Plusieurs éléments publiés permettent toutefois une première vérification :

• la présence d’un composant nommé x.cpe ou com.oemservice dans la liste des applications, y compris système, si votre boîtier permet de l’afficher ;
• un Google Play Protect désactivé alors que vous ne l’avez pas désactivé vous-même, puisque cette désactivation fait partie des capacités décrites ;
• dans les journaux de votre box ou de votre résolveur DNS, des requêtes vers un sous-domaine de anyevonline[.]com ou vers mqtt.szbboys[.]com.

Le démantèlement a coupé les serveurs de commande, mais la source n’indique pas que le code embarqué ait été retiré des appareils. Comme il fait partie du logiciel système lui-même, le plus prudent, en cas de doute, est de débrancher le boîtier de votre réseau domestique.

Pour les propriétaires de ces 1,3 million de boîtiers, le problème n’est pas une attaque subie après l’achat : selon Google, les appareils étaient déjà piégés en sortie d’usine.