Contexte et découverte
Google a révélé qu’un de ses partenaires de fabrication Android, Videostrong Technology Co. basé à Shenzhen, a intégré clandestinement une porte dérobée dans 1,3 million de boîtiers TV et d’autres appareils IoT. Ces dispositifs, commercialisés comme Android TV set‑top boxes, téléviseurs de karaoké, équipements de télésanté et panneaux d’affichage numérique, ont été distribués pendant plusieurs années avant d’être identifiés comme partie d’un botnet.
La société a immédiatement suspendu ses relations avec Videostrong et a interdit à ce fabricant de produire ou de vendre des appareils Android certifiés. Cette mesure vise à empêcher toute réapparition du même vecteur d’infection.
Mécanismes du botnet
Le malware était intégré au firmware dès le premier démarrage du matériel. Google indique que Videostrong a employé des techniques d’obfuscation pour masquer le code malveillant, rendant son analyse difficile pour les outils de vérification standards. Une fois le dispositif allumé, le code s’activa, établissant une connexion vers des serveurs de commande et contrôle (C2) gérés par des affiliés criminels.
Ces affiliés commercialisaient l’accès au botnet, injectant des modules additionnels capables de réaliser de la fraude publicitaire, d’inscrire les appareils dans des réseaux de proxy résidentiels et d’exfiltrer des données utilisateur. Google a désactivé les domaines C2 associés, estimant que cette action coupe l’accès à au moins 10 millions d’appareils supplémentaires compromis via les mêmes canaux de distribution.
Impacts et portée
Les activités malveillantes observées comprennent le ad‑fraud (génération de clics factices pour gonfler les revenus publicitaires), l’exfiltration de données sensibles et le routage de trafic réseau non autorisé. La diversité des modèles infectés montre que la porte dérobée n’était pas limitée à un seul type de produit, mais était « intégrée directement dans de nombreux modèles et marques », augmentant la surface d’exposition.
En plus du préjudice financier lié à la fraude publicitaire, la présence d’un botnet de cette ampleur expose les utilisateurs à des risques de confidentialité et de sécurité réseau, notamment la possibilité d’utiliser leurs appareils comme points d’accès pour des attaques DDoS ou d’autres activités illicites.
Réactions de Google
Google a déclaré avoir démantelé la porte dérobée et interrompu le botnet. La société a également modifié son processus de validation des fabricants Android, renforçant les contrôles de firmware et introduisant des exigences d’audit plus strictes pour détecter les comportements anormaux avant la certification.
Cette réponse vise à restaurer la confiance des consommateurs et des partenaires dans l’écosystème Android, tout en limitant la capacité de futurs acteurs malveillants à exploiter des failles similaires.
