Une porte dérobée dans 1,3 million de box Android transformée en botnet

Google a annoncé que l’un de ses partenaires de fabrication, la société chinoise Videostrong Technology, avait installé un accès clandestin dans plus d’un million de box Android. Ces appareils, majoritairement des décodeurs TV, mais aussi des dispositifs IoT comme des machines à karaoké ou des écrans d’affichage numérique, ont été convertis en une botnet capable de diffuser du trafic publicitaire frauduleux, d’exfiltrer des données et de servir de relais pour du trafic non autorisé.

Le mode d’emploi du malware

Selon le géant du logiciel, la porte dérobée était intégrée directement dans le firmware de nombreux modèles, et ce depuis plusieurs années. Lors du premier démarrage de l’appareil, un code d’obfuscation chargeait un module malveillant qui établissait la connexion avec les serveurs de commande et de contrôle (C2) de Vidéostrong. Une fois le dispositif compromis, il était mis à disposition d’affiliés criminels qui pouvaient y installer des charges utiles supplémentaires :

• des scripts de fraude publicitaire qui génèrent des clics factices pour gonfler les revenus d’affichage ;
• l’inscription silencieuse à des réseaux de proxy résidentiels, transformant chaque box en nœud de contournement de géoblocage ;
• des chargeurs de logiciels additionnels, augmentant le nombre d’appareils infectés au-delà des 1,3 million initialement identifiés.

Google estime que la désactivation des domaines C2 liés à ces affiliés pourrait couper l’accès à au moins 10 millions d’appareils supplémentaires qui utilisent les mêmes modules.

Réaction de Google et mesures prises

Face à la gravité du problème, Google a immédiatement suspendu le partenariat avec Videostrong, interdit à la société de fabriquer ou de vendre des appareils certifiés Android et a supprimé le backdoor du processus de certification. L’entreprise a également renforcé son processus de validation des fabricants, introduisant des contrôles plus stricts sur le firmware et les mises à jour OTA (over‑the‑air).

Ces mesures visent à éviter que d’autres fournisseurs n’introduisent des composants malveillants avant même que les appareils ne quittent la chaîne de production. Pour les utilisateurs déjà touchés, Google recommande de réinitialiser les paramètres d’usine, de vérifier les mises à jour logicielles officielles et, si possible, de remplacer les appareils par des modèles provenant de fabricants certifiés.

Conséquences pour les consommateurs et les acteurs du secteur

L’incident rappelle que la sécurité des objets connectés ne se limite pas aux smartphones ou aux ordinateurs. Des équipements « ordinaires », comme les décodeurs TV, peuvent devenir des vecteurs d’attaques à grande échelle. Pour les particuliers, le risque se traduit par une exposition accrue aux publicités non désirées, à la perte de bande passante et, dans le pire des cas, à la compromission de données personnelles.

Pour les entreprises, notamment les fournisseurs de services de streaming ou les opérateurs télécoms qui intègrent ces box dans leurs offres, le défi est double : garantir la confiance des utilisateurs tout en maîtrisant les coûts de mise en conformité. Une vigilance accrue dans la chaîne d’approvisionnement et des audits de sécurité réguliers deviennent des exigences incontournables.

Vers une meilleure gouvernance des appareils Android

Google n’est pas le premier à signaler des failles de ce type, mais l’ampleur du réseau – plus d’un million d’appareils – place cet épisode parmi les plus marquants en matière de sécurité IoT. L’affaire souligne l’importance d’une gouvernance forte du système d’exploitation Android, notamment pour les appareils qui ne reçoivent pas de mises à jour automatiques régulières.

À l’avenir, on peut s’attendre à ce que les autorités de régulation, notamment en Europe et aux États-Unis, renforcent les exigences de transparence et de sécurité pour les fabricants d’appareils connectés. En attendant, les consommateurs gagneront à privilégier les produits certifiés par Google Play Protect et à vérifier régulièrement les mises à jour proposées.

En somme, l’affaire Videostrong montre que la chaîne d’approvisionnement logicielle reste un maillon fragile, et que la vigilance collective – des développeurs aux utilisateurs finaux – est indispensable pour garder le contrôle sur le flot croissant d’appareils connectés.