Un fabricant chinois a installé une porte dérobée dans des appareils Android TV

Une entreprise chinoise nommée Videostrong, connue pour la fabrication de boîtiers TV sous la marque MECOOL, a secrètement intégré une porte dérobée dans des appareils Android TV qu'elle produisait pour plusieurs marques. Cela a permis à des cybercriminels d'accéder à plus de 1,3 million d'appareils.

Google et les autorités ont démantelé le réseau

En collaboration avec l'Agence nationale de la police du Japon et cinq entreprises de cybersécurité, Google a supprimé le réseau compromis la semaine dernière. L'entreprise a déclaré que la porte dérobée ne résultait pas d'une erreur isolée d'un employé ou d'une simple méprise, mais d'une volonté délibérée.

Les chercheurs ont retracé la porte dérobée jusqu'à Videostrong

Des experts en sécurité de Synthient ont remonté jusqu'à Videostrong en examinant un boîtier MECOOL KM9PRO Max acheté à la fin de l'année 2025. Ils ont trouvé sur un serveur pirate un document rédigé par le directeur de la recherche et du développement de Videostrong, qui relie directement l'entreprise à l'attaque.

La porte dérobée était intégrée au micrologiciel avec des privilèges système

Videostrong a intégré sa porte dérobée, baptisée x.cpe, dans une partition du micrologiciel dotée de tous les privilèges système d'Android. Elle était programmée pour se réinstaller si les utilisateurs tentaient de la supprimer, garantissant ainsi un accès persistant aux appareils.

Les pirates ont utilisé les appareils infectés pour installer des modules criminels

Dès qu'un appareil était allumé, les pirates en prenaient le contrôle via leurs serveurs de commande. Ils installaient des applications, désactivaient Google Play Protect et exécutaient des commandes avec des droits de niveau système. Ils dérobaient également des captures d'écran en direct et des informations de compte, mais utilisaient principalement les appareils pour installer des modules destinés à des clients criminels.

Des modules s'appuyaient sur des réseaux de proxys résidentiels

Les modules installés sur les appareils provenaient souvent de fournisseurs de proxys résidentiels comme Linkfog et NetNut. Ces entreprises acheminent le trafic internet via des connexions domestiques à l'insu des utilisateurs, ce qui permet aux pirates d'utiliser les appareils à des fins frauduleuses.

Les pirates ont exploité les appareils pour la fraude publicitaire et d'autres crimes

Dans certains cas, les pirates ont installé trois modules différents sur un même appareil afin d'en maximiser l'utilisation. Ils chargeaient également des pages web invisibles sur les téléviseurs et cliquaient sur des publicités à la place des utilisateurs. Deux des portes dérobées utilisées étaient auparavant liées au réseau de machines zombies BadBox 2.0.

Google a retiré Videostrong de la certification Android

Pour vendre des appareils Android TV avec les applications Google, les fabricants doivent réussir des tests de compatibilité et de sécurité. Videostrong contournait ces tests en dissimulant du code malveillant et en le chargeant après le premier démarrage. Google a depuis mis à jour son processus d'examen et retiré Videostrong de la certification Android.

Videostrong a fait évoluer ses méthodes malveillantes au fil du temps

Fin 2024, Videostrong a transféré ses modules malveillants dans une nouvelle application appelée com.abc.nexus. En août 2026, elle l'a remplacée par de petites applications déguisées en composants système d'Android. Google affirme qu'il s'agissait d'un effort intentionnel pour échapper à la détection.

Google a rompu définitivement ses liens avec Videostrong

Google a mis fin à sa relation avec Videostrong et révoqué son droit de produire des appareils Android TV avec son logiciel. Il interdit également à Videostrong et à ses futures filiales de fabriquer des appareils certifiés ou de fournir des logiciels à d'autres fabricants.

La porte dérobée subsiste dans les appareils vendus, et il revient aux utilisateurs de la supprimer

Bien que Google ait déconnecté les appareils des serveurs de commande, il n'a pas pu supprimer la porte dérobée x.cpe des appareils déjà vendus. Les utilisateurs doivent installer manuellement un micrologiciel propre ou déconnecter l'appareil d'internet pour éliminer la menace.

Google met en garde contre les applications suspectes et les fabricants non fiables

Google conseille aux utilisateurs d'éviter les applications qui proposent de rémunérer l'utilisation de leur bande passante inutilisée, car elles peuvent enrôler les appareils dans des réseaux de proxys. Il recommande également d'acheter des boîtiers TV uniquement auprès de fabricants figurant sur sa liste de partenaires Android TV.