Contexte et découverte
Le Threat Intelligence Group de Google a annoncé la neutralisation du botnet nommé x.cpe. Au pic, plus de 1,3 million d’appareils Android TV certifiés étaient infectés. Ces boîtes, commercialisées sous la marque MECOOL, proviennent de l’entreprise chinoise Videostrong Technology. Google indique que le processus de certification, censé filtrer les menaces, a été contourné grâce à des techniques d’obfuscation.
Architecture du botnet x.cpe
Le malware a évolué d’un simple dropper à une plateforme modulaire à trois niveaux. Le premier niveau, le stub com.oemservice, possède les permissions système requises pour installer d’autres modules. Le deuxième niveau charge des composants dédiés au trafic de proxy résidentiel ou à la génération de fraude publicitaire. Le troisième niveau offre un accès direct à l’opérateur, permettant l’exécution de commandes terminal, la capture d’écran et le balayage du réseau local. Cette structure permet de vendre l’accès à des tiers, transformant chaque boîte en un point de relais monétisable.
Mécanismes d’évasion et limites de Play Protect
Le stub ne comporte aucune fonction malveillante apparente, ce qui empêche la détection immédiate. Il désactive Play Protect, le service de sécurité de Google, avant d’installer les modules supplémentaires. L’obfuscation du code et le recours à un backdoor installé après la mise en service du dispositif ont masqué la présence du malware pendant la phase de certification. Ainsi, les boîtes ont pu être mises sur le marché sans déclencher d’alerte.
Impacts et mesures d’atténuation
Google a observé que la majorité des appareils compromettus fonctionnaient comme des proxys résidentiels, acheminant de gros volumes de trafic illicite. D’autres modules ont participé à des campagnes de fraude publicitaire, gonflant artificiellement les revenus des annonceurs. En plus du trafic, les opérateurs pouvaient capturer l’écran et interroger d’autres appareils du réseau domestique, augmentant le risque d’intrusion latérale. La suppression du stub et la réactivation de Play Protect constituent la première ligne de défense. Google recommande aux fabricants de renforcer les contrôles d’intégrité du firmware et d’appliquer des mises à jour de sécurité dès que des anomalies sont détectées. Les utilisateurs finaux doivent vérifier la provenance de leurs boîtes Android TV et désactiver les sources d’installation non officielles.
