Selon Google, un fabricant chinois piégeait lui-même ses boîtiers TV Android dès l'usine

Le programme s'appelle x.cpe. Il ne vient ni d'un téléchargement douteux ni d'une faille exploitée à distance : il est inscrit dans le micrologiciel des appareils, le logiciel interne gravé avant la vente. Si on le supprime, il se réinstalle au redémarrage. Le 2 novembre, Google a révélé avoir démantelé, la semaine précédente, le réseau d'appareils infectés qu'il alimentait, baptisé XCPE.

Plus de 1,3 million d'appareils figuraient dans ce réseau, pour l'essentiel des boîtiers TV sous Android. Selon le groupe de renseignement sur les menaces de Google, son auteur n'est pas un pirate anonyme. C'est un fabricant, le chinois Videostrong Technology, qui conçoit des appareils pour d'autres marques. Google estime « avec un haut degré de confiance » que l'entreprise a « intentionnellement développé, déployé et exploité » ce réseau « dans un but lucratif ».

Un accès à votre téléviseur, revendu à des escrocs

D'après l'analyse de Google, le programme dispose des droits du système Android lui-même. Il peut installer des applications sans rien demander, exécuter des commandes, faire des captures d'écran, simuler des frappes au clavier et collecter des informations sur les comptes et l'appareil. Il désactive aussi Play Protect, l'antivirus intégré d'Android.

Videostrong vendait ensuite l'accès à ces boîtiers à des clients criminels. Ceux-ci y installaient leurs propres modules : fraude publicitaire, revente de la connexion internet des victimes sous forme de « proxys résidentiels » qui masquent l'origine du trafic d'autres personnes, ou installation d'autres portes dérobées. Selon Google, un même appareil pouvait faire tourner jusqu'à trois de ces services de revente de bande passante. Depuis août 2026, de nouvelles variantes se déguisaient en applications système et, pour plusieurs d'entre elles, utilisaient un module d'élévation de privilèges pour s'ancrer plus profondément.

Les boîtiers TV ne sont pas les seuls touchés. Google cite aussi des appareils de téléconsultation médicale, des machines de karaoké et des écrans d'affichage publicitaire.

Ce que Google a coupé, et ce qui reste en place

Google a travaillé avec plusieurs partenaires, dont la police nationale japonaise, Lumen et HUMAN Security, pour analyser et perturber ce réseau. Il a aussi mené une action en justice pour faire tomber les domaines et les serveurs qui pilotaient le réseau. La même opération vise les serveurs de commande de plus d'une douzaine d'autres familles de programmes malveillants installées par cette porte dérobée. Selon Google, cela devrait couper l'accès à au moins 10 millions d'appareils compromis supplémentaires. Videostrong et ses sociétés affiliées n'ont plus le droit de fabriquer des appareils Android certifiés ni de fournir des logiciels aux fabricants certifiés.

Le programme, lui, n'a pas disparu des appareils. Google ne nomme aucune marque ni aucun modèle concerné et ne dit pas quels pays sont les plus touchés. Il indique seulement que le réseau est dispersé dans le monde entier. Selon BleepingComputer, la société Synthient a toutefois trouvé le programme préinstallé sur un boîtier MECOOL KM9PRO Max acheté fin 2025.

Que faire si vous avez un boîtier TV Android bon marché ?

Ici, pas de faille à corriger : le piège était livré avec l'appareil. Les réflexes à adopter :

• Vérifiez la marque de vos boîtiers dans la liste des partenaires Android TV certifiés publiée par Google (android.com/certified/partners). Attention : Videostrong lui-même fabriquait des appareils Android TV certifiés jusqu'à ce que Google le bannisse.
• Débranchez-le d'Internet en cas de doute : cela stoppe son activité malveillante, mais seul un micrologiciel sain permet de supprimer le programme.
• En entreprise, recherchez les indicateurs publiés par Google : les paquets x.cpe et com.oemservice sur les appareils, et les domaines szbboys[.]com et anyevonline[.]com dans vos journaux réseau. Isolez sur un réseau séparé les écrans d'affichage et autres appareils Android connectés.
• Méfiez-vous des applications qui proposent de vous payer pour « partager votre connexion » : Google cite explicitement ce type d'offre.

Reste à savoir quelles marques vendues en Europe embarquaient ce programme. Google appelle les revendeurs à exiger des audits de sécurité indépendants de leurs sous-traitants. Pour l'instant, les acheteurs n'ont aucun moyen simple de savoir qui a réellement fabriqué leur boîtier.