Google démantèle le botnet XCPE de plus de 1,3 million de boîtiers Android TV

Le 2 novembre 2026, Google annonce avoir démantelé, la semaine précédente, la porte dérobée XCPE, qui avait enrôlé plus de 1,3 million de boîtiers dans un botnet. L’éditeur estime avec une confiance élevée que Videostrong Technology Co., fabricant chinois d’appareils Android, a conçu, installé et exploité cette porte pour en vendre l’accès à des affiliés criminels.

Les serveurs tombent, les boîtiers restent

Google dit avoir engagé une action en justice contre les domaines et les serveurs du botnet, puis contre ceux de plus d’une douzaine de familles de logiciels chargés par la porte. Videostrong et toute future filiale sont bannis des appareils Android certifiés, y compris comme fournisseur d’autres marques. Le contrôle des firmwares Android TV a été renforcé.

Ce n’est pas, selon Google, le fait d’un employé isolé ni un oubli. Le code équipait de nombreux modèles et marques depuis plusieurs années. Il était masqué pour franchir un trou des tests, puis chargé après le premier démarrage.

L’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI ont participé. Google estime que la chute des serveurs d’affiliés leur retire aussi l’accès à au moins 10 millions d’autres appareils, infectés hors de XCPE.

Ce que x.cpe faisait dans le boîtier

La porte s’appelle x.cpe, parfois com.oemservice. Elle a le privilège système android.uid.system et vit dans le firmware. La désinstaller ne sert pas. Au redémarrage, elle revient depuis le répertoire oem. Depuis au moins fin 2024, la porte joint les serveurs et le chargeur com.abc.nexus lance les modules.

L’appareil contacte anyevonline.com, puis une liaison MQTT vers mqtt.szbboys.com, que Google place sur 219.134.163.210 et 219.134.163.211, ports 3885 à 3887. De là partent installations silencieuses, commandes, captures d’écran et reconnaissance du réseau. Pour installer sans accord, le logiciel coupe Google Play Protect.

Google dit avoir vu Videostrong prendre des captures en direct, injecter des frappes, copier des comptes, la liste des applications et des journaux, et ouvrir une ligne de commande à distance. Le lecteur YokaTV lit des réglages venus de ces serveurs. Presque tous les appareils sont des boîtiers Android TV. La porte existe aussi sur des appareils de télésanté, des karaokés et de l’affichage.

Le salon devient un proxy

Le boîtier devient une sortie de proxy résidentiel ou une machine à fausses publicités. Le trafic d’un tiers sort par la connexion du foyer. Google nomme Linkfog (Beijing Linkfog Technology, marque Dianxinyun), AppSalt, le kit de Honeygain, propriété d’Oxylabs, NetNut, Traffmonetizer, GaGaNode (IPCola) et EarnFM. AppSalt appelle optIn() sans écran de consentement, et s’arrête s’il vient du Play Store.

Du 3 juin au 1er octobre 2026, TrendAI compte 1 472 554 appareils, 206 modèles et plus de 170 pays. Environ 1,33 million recevaient proxy et fraude publicitaire. Le relevé donne 3 849 226 adresses IP de sortie, 182 025 par jour en moyenne (pic à 366 562) et 2 360 663 001 messages de commande. En tête, la Malaisie, le Brésil, l’Irak, le Mexique et Taïwan. Les États-Unis, l’Allemagne, le Royaume-Uni, l’Australie et le Canada sont chacun autour de 26 000 à 42 000. Pas de total pour la France. Aucun acheteur n’est nommé, et rien ne démontre un usage par un État.

Le même jour, Synthient et la Motion Picture Association retiennent au moins 1,3 million d’appareils, dont environ un demi-million en ligne. Un MECOOL KM9PRO Max acheté fin 2025 portait déjà la porte. Les indices vers Videostrong Technology Co., Ltd. comprennent un document signé par Owen Cao, directeur recherche et développement, dans un répertoire ouvert, et une IP commune à videostrong.cn et au panneau d’administration. Le paquet est signé Skyworth Digital Technology. Les rapports ne désignent pas Skyworth comme l’opérateur.

Ce n’est pas l’affaire d’août 2026, où Bitsight reliait environ 38 000 boîtiers à Zhejiang Fengwo IoT Technology. TrendAI situe XCPE près de BADBOX 2.0, visé en mars 2025. Kaspersky a relié com.abc.nexus à l’acteur IPMoyu.

La porte reste dans le firmware

Sans serveurs, les ordres s’arrêtent. Le logiciel reste. TrendAI écrit qu’il faut une action du fabricant, une protection de la plateforme, ou un remplacement. Synthient conseille de jeter les boîtiers. Un nom de modèle ne prouve rien. La liste publique en compte 182, et un homonyme peut être sain. Depuis août 2026, de nouveaux installeurs imitent des applications système, dont com.android.system.ntp et com.android.sso.auth.handler, et se recopient dans la partition system.

Ce qu’un foyer peut faire maintenant

Changez le mot de passe du Wi-Fi si le boîtier le partageait, et isolez les objets connectés. Écartez les applications qui paient pour « la bande passante inutilisée ». La liste des partenaires Android certifiés sert de repère pour un remplacement. TrendAI a vu plus de 187 000 installations silencieuses, d’après les téléchargements.

Sources

Google Threat Intelligence, 2 novembre 2026.

Synthient, 2 novembre 2026. Modèles et indicateurs : dépôt public.

TrendAI Research, 2 novembre 2026.