Les boîtiers TV Android bon marché peuvent cacher des logiciels malveillants installés dès l’usine. Google a démantelé XCPE, un botnet de plus de 1,3 million d’appareils. Voici comment vérifier si votre boîtier est certifié et ce qu’il faut faire s’il ne l’est pas.
Pourquoi la certification Play Protect compte
Un appareil certifié Play Protect a passé les tests de compatibilité et de sécurité de Google. Il reçoit les applications Google sous licence et les mises à jour de sécurité. Il doit aussi être livré sans logiciel malveillant préinstallé.
Selon Android, ces tests couvrent des centaines de contrôles. Ils vérifient le modèle de permissions, les mises à jour et l’intégrité des applications Google. Un appareil non certifié peut ne pas recevoir de correctifs de sécurité.
Le cas XCPE montre le risque. Selon Google, le fabricant Videostrong a préinstallé un backdoor dans le firmware de nombreux boîtiers. Le logiciel revenait après chaque réinitialisation.
Plus de 1,3 million d’appareils ont été infectés.
Étape 1 : vérifier la certification sur l’appareil
Ouvrez le Google Play Store sur le boîtier. Touchez l’icône de profil en haut à droite, puis Paramètres. Dans la section À propos, vérifiez la mention « Play Protect certification ».
Si le boîtier n’a pas le Play Store, la vérification directe est impossible. Il faut alors passer par la liste officielle des appareils compatibles. Selon Google Play Help, un modèle absent de cette liste n’est pas certifié.
Sur certains téléviseurs et boîtiers, le chemin diffère. L’icône de profil mène directement à Play Protect. Le statut s’affiche alors sous le nom de l’appareil.
Étape 2 : vérifier le modèle dans les listes Google
Google publie une liste des appareils compatibles avec le Play Store. Une page séparée recense les partenaires qui fabriquent des appareils certifiés. Ces deux sources permettent de vérifier un modèle avant l’achat.
La liste des partenaires ne garantit pas qu’un modèle précis soit certifié. Elle indique seulement que la marque travaille avec Google. Il faut donc croiser le nom exact du modèle et son numéro de build.
Un boîtier vendu sous une marque inconnue peut être fabriqué par un sous-traitant. Le nom affiché ne correspond pas toujours au fabricant réel. En cas de doute, demandez au vendeur le certificat ou le numéro de modèle exact.
Étape 3 : repérer les signaux d’alerte
Certains signes doivent vous alerter immédiatement. Un boîtier qui affiche « Android TV » sans être certifié est suspect. Un prix très bas, des applications préinstallées inconnues ou des publicités intrusives le sont aussi.
Selon Android Central, Google recommande de vérifier la certification avant tout achat. Les boîtiers construits sur Android Open Source Project peuvent sembler normaux. Ils peuvent pourtant inclure des applications Google non autorisées.
| Signal | Ce que cela signifie | Que faire |
|---|---|---|
| Play Store absent | Google n’a pas validé l’appareil | Vérifier le modèle dans la liste |
| Mention « non certifié » | Tests de sécurité non passés | Contacter le vendeur |
| Applications inconnues | Logiciel ajouté par le fabricant | Désinstaller ou remplacer |
| Aucune mise à jour | Correctifs absents | Vérifier les mises à jour |
| Publicités et ralentissements | Logiciel publicitaire possible | Analyser et remplacer |
Un boîtier certifié peut tout de même être compromis par une application installée après l’achat. La certification n’est pas une garantie absolue. Elle reste un filtre de départ indispensable.
Étape 4 : chercher les traces connues de XCPE
Google a publié les noms des paquets utilisés par XCPE. Le backdoor apparaît sous les noms x.cpe ou com.oemservice selon les versions. Un autre paquet, com.abc.nexus, sert de moteur d’exécution.
Ces paquets peuvent être invisibles dans la liste des applications. Ils disposent de privilèges système et se réinstallent après un redémarrage. Une simple désinstallation ne suffit donc pas.
La présence de l’un de ces noms ne prouve pas à elle seule une infection. Elle doit conduire à une vérification plus poussée. Les outils de sécurité grand public ne détectent pas toujours ce type de backdoor.
Que faire si le boîtier n’est pas certifié
Contactez d’abord le fabricant ou le vendeur. Demandez un appareil certifié Play Protect ou un remboursement. Si l’achat est récent, faites jouer le droit de retour.
Une réinitialisation d’usine ne suffit pas si le logiciel est dans la partition système. Le backdoor XCPE se réinstalle au démarrage. Le remplacement reste la solution la plus sûre.
Débranchez le boîtier du réseau si vous suspectez une infection. Changez les mots de passe utilisés depuis ce réseau. Surveillez aussi les comptes liés aux services de streaming.
Comment choisir un boîtier sûr
Achetez auprès d’un revendeur connu, avec une politique de retour claire. Vérifiez le modèle sur la liste des partenaires Google avant de payer. Méfiez-vous des offres qui promettent de l’argent contre de la bande passante.
Selon Google, les applications qui rémunèrent le partage de connexion sont un vecteur courant de proxys illégitimes. Elles peuvent exposer votre réseau domestique. Il vaut mieux les éviter sur un boîtier TV.
Un boîtier certifié coûte souvent plus cher. Ce surcoût finance les tests, les mises à jour et le support. C’est le prix d’un appareil qui ne transforme pas votre salon en relais pour des criminels.
Retrouvez nos tutoriels pour protéger vos autres appareils.
Ce qu’il faut retenir
- Vérifiez Play Protect avant tout achat.
- Un boîtier non certifié peut cacher un backdoor.
- Une réinitialisation ne suffit pas toujours.
Pour ne rater aucun bon plan, rejoignez notre nouveau channel Telegram Phonerol Bons Plans, garanti sans spam !
