Google a indiqué que ses enquêteurs avaient déterminé, avec un haut degré de certitude, que Videostrong était responsable du développement et de l’exploitation de ce réseau malveillant, actif au moins depuis fin 2024. (Image : GoldenDayz / envato)
Google a démantelé un vaste réseau de cybercriminalité impliquant plus de 1,3 million de boîtiers Android TV, accusant un fabricant chinois d’électronique d’avoir délibérément installé des logiciels malveillants sur des appareils vendus à des consommateurs qui ne se doutaient de rien, partout dans le monde.
Selon une enquête publiée le 2 novembre par le Groupe de renseignement sur les menaces (Threat Intelligence Group) de Google, l’entreprise Videostrong Technology, basée à Shenzhen, aurait intégré une porte dérobée (backdoor) dans ses produits. Cela permettait à des criminels d’exploiter les connexions Internet domestiques des clients pour mener des fraudes publicitaires, générer du trafic réseau non autorisé et se livrer à d’autres activités illégales.
L’opération, baptisée XCPE , a touché des appareils distribués sous diverses marques. Elle ne se limitait pas aux boîtiers de streaming TV, mais concernait également d’autres produits connectés à Internet.
Un fabricant chinois accusé d’avoir délibérément installé des logiciels malveillants
Google a indiqué que ses enquêteurs avaient déterminé, avec un haut degré de certitude, que Videostrong était responsable du développement et de l’exploitation de ce réseau malveillant, actif au moins depuis fin 2024.
L’entreprise aurait installé des logiciels malveillants directement dans le micrologiciel (firmware) des appareils, leur permettant ainsi de persister même lorsque les utilisateurs tentaient de supprimer des applications suspectes. Google a qualifié cette opération de système « intentionnellement développé, déployé et exploité à des fins lucratives ».
Plutôt que de se contenter de collecter des informations sur les utilisateurs, le logiciel malveillant transformait les appareils infectés en composants d’une opération de cybercriminalité commerciale.
D’après l’enquête de Google, Videostrong vendait l’accès aux appareils compromis à des partenaires criminels, qui y installaient des logiciels malveillants supplémentaires afin de générer des revenus publicitaires frauduleux et de faire transiter du trafic Internet via des connexions résidentielles.
Ces dispositifs, appelés « réseaux de proxys résidentiels », permettent à des tiers de dissimuler leurs activités en ligne en faisant croire que le trafic provient de foyers ordinaires plutôt que de serveurs commerciaux.
Dans certains cas, le logiciel malveillant permettait également aux opérateurs de réaliser des captures d’écran, d’exécuter des commandes à distance et de collecter des données depuis les appareils infectés.
Google a précisé que ce logiciel avait été distribué sur plusieurs modèles de produits pendant plusieurs années, en utilisant des techniques sophistiquées conçues pour échapper à toute détection. L’entreprise a conclu que cette opération n’était « ni le fait d’un individu isolé agissant de son propre chef, ni le résultat d’une simple négligence lors du développement ».
SelonThe Record, une publication spécialisée dans la cybersécurité, Videostrong n’a pas répondu aux demandes de commentaires concernant ces accusations.
Google rompt ses liens alors que des millions d’appareils restent vulnérables
À la suite de cette enquête, Google a annoncé avoir mis fin à sa relation avec Videostrong, interdisant au fabricant et à ses filiales de produire des appareils Android certifiés ou de fournir des logiciels à des fabricants certifiés.
En collaboration avec l’Agence nationale de la police japonaise et plusieurs entreprises de cybersécurité dont HUMAN Security, Lumen, Synthient et TrendAI, Google a neutralisé l’infrastructure qui contrôlait les appareils infectés.
L’entreprise estime que cette opération pourrait également couper l’accès des cybercriminels à au moins 10 millions d’appareils compromis supplémentaires, reliés à des réseaux de logiciels malveillants associés.
Robert McArdle, directeur de la recherche sur la cybercriminalité chez TrendAI, a confié au média The Record que des millions de foyers et d’entreprises ont vu leurs appareils exploités par des cybercriminels, à leur insu.
L’enquête a par ailleurs révélé que le logiciel malveillant s’était propagé au-delà des simples appareils de streaming vidéo.
Les chercheurs ont identifié des équipements de télésanté sous Android, des machines de karaoké et des systèmes d’affichage numérique compromis, ce qui souligne les risques de sécurité croissants liés à l’Internet des objets (IoT).
Un réseau de cybercriminalité
Ben Brundage, fondateur de la société de cybersécurité Synthient, a averti que l’ampleur de l’opération pourrait être bien plus vaste que ce qui a été documenté jusqu’à présent. « Le nombre d’appareils touchés est probablement bien plus élevé », a précisé M. Brundage à KrebsOnSecurity, un blog d’investigation en cybersécurité.
Bien que l’opération ait interrompu les communications entre les appareils infectés et leurs centres de contrôle, le logiciel malveillant pourrait toujours être présent au sein de leur micrologiciel (firmware).
Les experts en sécurité de Malwarebytes conseillent aux utilisateurs concernés de déconnecter les appareils suspects et de contacter les fabricants pour obtenir un micrologiciel sain ou un remplacement de l’appareil.
Google a également reconnu des failles dans son processus de certification des appareils, expliquant que Videostrong utilisait des techniques permettant aux composants malveillants de s’activer une fois la procédure de démarrage initial terminée.
L’entreprise a indiqué avoir renforcé ses procédures de contrôle de sécurité afin de prévenir de futures attaques similaires.
Cette affaire met en lumière une préoccupation croissante en matière de cybersécurité : des objets domestiques connectés, tout à fait ordinaires, peuvent intégrer des réseaux criminels avant même que leurs propriétaires ne les allument.
Pour améliorer votre expérience, nous (et nos partenaires) stockons et/ou accédons à des informations sur votre terminal (cookie ou équivalent) avec votre accord pour tous nos sites et applications, sur vos terminaux connectés.
