Contexte et portée du botnet

Le groupe Google Threat Intelligence (GTIG) a identifié un réseau de plus de 1,3 million de boîtiers Android TV, commercialisés sous plusieurs marques, qui étaient préinstallés avec un logiciel malveillant. Ce logiciel, nommé XCPE, transformait chaque appareil en residential proxy, c’est‑à‑dire qu’il rendait l’adresse IP de l’appareil disponible à la location pour des services anonymisant le trafic ou falsifiant la localisation. GTIG estime que le démantèlement du réseau coupe également l’accès à au moins 10 millions d’appareils supplémentaires, parmi lesquels des dispositifs de santé connectés, des machines à karaoké et des panneaux d’affichage numériques.

Mécanismes d’infection et d’exploitation

Le fabricant chinois Videostrong Technology Co. intégrait le chargeur XCPE dans le firmware des boîtiers. Le code s’exécutait dès le premier démarrage, contournant les tests de compatibilité Android imposés par Google. Une fois actif, le malware ouvrait un tunnel vers des serveurs de commande contrôlés par Videostrong, puis téléchargeait des SDK de fournisseurs de proxy tels qu’AppSalt (Honeygain), NetNut, EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb et GaGaNode. Ces SDK injectaient des modules capables de rediriger le trafic HTTP/HTTPS du dispositif vers des campagnes de fraude publicitaire, de prise de contrôle de comptes et de collecte massive de données pour l’entraînement de modèles d’IA.

Le modèle d’affaires reposait sur la vente d’accès à ces backdoors à des affiliés criminels. Chaque appareil, sans le consentement de l’utilisateur, était ainsi loué comme point d’ancrage dans un réseau de proxy résidentiel, augmentant la densité d’adresses IP légitimes disponibles pour les acteurs malveillants.

Opérations de démantèlement et impact estimé

Google a engagé des actions légales contre les domaines et serveurs utilisés par Videostrong, entraînant la suspension de plus de centaines de noms de domaine. En parallèle, le FBI a saisi les infrastructures liées à NetNut, déjà pointées comme opérateur d’un autre botnet nommé Popa. La coopération avec des partenaires industriels, dont le startup Synthient, a permis de cartographier les flux de SDK et de pousser des correctifs chez les fournisseurs de proxy. Selon le rapport GTIG, la coupure des points de commande devrait réduire de façon notable le trafic généré par le botnet, même si la taille exacte du réseau restant reste incertaine.

Limites et perspectives

Le chiffre de 1,3 million d’appareils infectés est qualifié de « conservateur » par les chercheurs de Synthient, ce qui suggère que le nombre réel pourrait être supérieur. La persistance du malware dépend de la capacité des fabricants à renforcer les contrôles de chaîne d’approvisionnement et à appliquer les exigences de sécurité Android dès le flash initial. À ce jour, Google n’a pas publié de mise à jour publique détaillant la correction du point de faiblesse exploité par Videostrong, ce qui laisse une marge d’incertitude quant à la résilience future du modèle d’infection. Le suivi continu des SDK de proxy et la surveillance des flux de trafic restent les meilleures garanties contre la réémergence de réseaux similaires.