XCPE est un botnet de plus de 1,3 million d’appareils Android, surtout des boîtiers TV. Google affirme que le fabricant Videostrong a vendu l’accès à des criminels. Les serveurs de commande ont été coupés fin octobre 2026.
Un backdoor installé dès l’usine
Selon Google, le logiciel malveillant x.cpe était préinstallé dans le firmware de nombreux modèles. Il tourne avec les privilèges du système Android. Si l’utilisateur le désinstalle, il se réinstalle au redémarrage depuis la partition oem.
Le géant américain dit avoir une confiance élevée dans son attribution. Videostrong Technology, fabricant basé à Shenzhen, aurait développé et exploité le backdoor pour le profit. Il vendait ensuite l’accès des appareils à des affiliés criminels.
Le botnet ne se limite pas aux boîtiers TV. Google cite aussi des appareils de télésanté, des machines à karaoké et des écrans de signalétique. La majorité des victimes reste toutefois des utilisateurs de boîtiers de streaming.
Ces affiliés utilisaient les boîtiers pour des fraudes publicitaires et pour transformer les connexions des foyers en proxys résidentiels. Ils pouvaient aussi installer d’autres logiciels malveillants. Selon The Register, l’opération a impliqué la police nationale japonaise et plusieurs entreprises de sécurité.
Des serveurs coupés, des appareils toujours infectés
Google a mené une action en justice pour couper les domaines de commande et de contrôle. L’entreprise affirme que cette opération prive aussi les affiliés d’un accès à au moins 10 millions d’autres appareils compromis. La mesure ne nettoie pas les boîtiers déjà infectés.
La répartition géographique est mondiale. Certaines concentrations laissent penser que la marque s’est vendue en grand volume sur quelques marchés. Google n’a pas publié de liste pays par pays.
Le fabricant est désormais banni de l’écosystème Android certifié. Google a coupé les ponts avec Videostrong. Il interdit aussi à ses futures filiales de produire des appareils avec les applications Google.
Selon BleepingComputer, les autorités et les chercheurs recommandent de remplacer les boîtiers concernés. Une simple réinitialisation ne suffit pas, car le code reste dans la partition système. Mieux vaut acheter un appareil d’une marque reconnue et vérifier sa présence sur la liste des partenaires Android TV.
Pour les foyers, le risque est concret : vol de données, écrans espionnés et bande passante revendue. Google conseille de garder Play Protect actif. L’entreprise demande aussi de se méfier des applications qui promettent de l’argent contre de la bande passante.
Les boîtiers bon marché sans certification restent les plus exposés. Le démantèlement montre aussi la limite de l’action ponctuelle. Les opérateurs de ces réseaux rebondissent vite vers de nouveaux serveurs.
Google dit avoir modifié son processus de certification. Le fabricant utilisait des techniques d’obfuscation pour charger le code après le premier démarrage. Cette faille dans les tests est désormais comblée, selon l’entreprise.
Pour suivre les enquêtes et les conseils de protection, consultez nos actualités sécurité.
Ce qu’il faut retenir
- XCPE a infecté plus de 1,3 million d’appareils Android.
- Google accuse Videostrong d’avoir vendu l’accès aux criminels.
- Les boîtiers infectés doivent être remplacés, pas réinitialisés.
Pour ne rater aucun bon plan, rejoignez notre nouveau channel Telegram Phonerol Bons Plans, garanti sans spam !
