Google a annoncé début novembre 2026 le démantèlement de XCPE, un réseau de plus de 1,3 million de boîtiers Android TV infectés dès leur fabrication, et attribue la porte dérobée au fabricant chinois Videostrong Technology. D’après The Record, les appareils piégés étaient répartis dans plus de 200 pays. L’affaire pose une question concrète à tous ceux qui ont acheté un boîtier TV bon marché : le mien est-il concerné, et comment s’en débarrasser ?
Un logiciel malveillant installé avant la vente
La particularité de XCPE est son mode d’infection. Il ne repose ni sur une faille exploitée à distance ni sur un utilisateur piégé : selon BleepingComputer, le code est intégré au micrologiciel au moment de la fabrication et tourne avec les privilèges du système Android. Au démarrage, l’appareil contacte un serveur de commande qui lui transmet les identifiants d’un service de messagerie par lequel arrivent ensuite les ordres.
Les opérateurs pouvaient alors installer des applications, désactiver la protection Google Play Protect, exécuter des commandes, faire des captures d’écran ou ouvrir un accès à distance. Google conclut avec une confiance élevée que la porte dérobée était intentionnelle et motivée par l’argent, et non l’œuvre d’un employé isolé.
Comment le réseau gagnait de l’argent
Selon The Record, Videostrong aurait vendu l’accès à ses appareils à des groupes criminels, qui y chargeaient leurs propres modules. Les boîtiers servaient de relais de connexion résidentiels, revendus à des tiers, à la fraude publicitaire, au vol de données et à l’installation d’autres portes dérobées.
Le phénomène dépasse la télévision : selon GovInfoSecurity, le code a aussi été retrouvé dans des équipements de télésanté, des machines de karaoké et des écrans d’affichage dynamique. Le même média précise que, désinstallé, le programme revenait de lui-même au redémarrage. En coupant les serveurs de commande, partagés par plus d’une douzaine de familles de logiciels malveillants, l’opération aurait en outre privé les attaquants de l’accès à au moins dix millions d’autres appareils compromis, d’après BleepingComputer.
La riposte de Google et de ses partenaires
L’opération a été menée avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Synthient, qui a remonté la piste jusqu’au fabricant après l’analyse d’un boîtier acheté fin 2025. Google a rompu toute relation avec Videostrong, lui a retiré le droit de fabriquer des appareils Android TV avec ses applications préinstallées et l’interdit, ainsi que ses futurs affiliés, de fournir des logiciels à des fabricants certifiés. Le groupe a aussi modifié sa procédure d’examen des appareils avant certification. Videostrong n’a pas répondu aux sollicitations de The Record.
Que faire si vous avez un boîtier suspect
Le point essentiel est souligné par BleepingComputer : la coupure des serveurs ne supprime pas le logiciel malveillant. Il se réinstalle tout seul depuis une partition système s’il est effacé. Google indique que les serveurs neutralisés rendent le code « effectivement inoffensif », mais n’a pas précisé, selon The Record, s’il préviendra les propriétaires ni s’il supprimera le programme à distance.
- Vérifiez la marque et le fabricant de votre boîtier Android TV, surtout s’il s’agit d’un modèle sans marque connue.
- Surveillez une activité réseau anormale quand l’appareil n’est pas utilisé.
- Seule l’installation d’un micrologiciel propre élimine le code ; à défaut, débranchez l’appareil d’Internet.
- En entreprise, inventoriez les écrans et boîtiers Android connectés au réseau et isolez-les du réseau principal.
Questions fréquentes
Comment savoir si mon boîtier Android TV fait partie du botnet XCPE ?
Aucune liste de modèles n’a été publiée par Google. Synthient a identifié le code sur un boîtier MECOOL KM9PRO Max ; une activité réseau inexpliquée au repos est un signal d’alerte.
Une réinitialisation d’usine suffit-elle ?
Non, le code est intégré au micrologiciel et se réinstalle. Il faut installer un micrologiciel propre ou cesser de connecter l’appareil à Internet.
Quelles sanctions vise Videostrong ?
Google a mis fin à sa relation commerciale, révoqué sa licence Android TV et lui interdit de produire des appareils certifiés ou de fournir des logiciels à des fabricants certifiés.
Sources
- Google disrupts million-device XCPE Android malware botnet, bans TV box maker — BleepingComputer, 2026-11-02
- Google dismantles botnet hidden in Android TV boxes — The Record, 2026-11-03
- Chinese Firm Built Botnet of Preinfected Android Devices — GovInfoSecurity, 2026-11-02