Ce lundi 2 novembre, le Google Threat Intelligence Group, l’équipe de Google qui traque les cybercriminels, a publié un rapport sur XCPE. Ce botnet a été démantelé fin octobre avec plusieurs partenaires. Un botnet est un réseau d’appareils infectés que des pirates pilotent à distance, ici surtout des box TV sous Android. Selon Google, c’est Videostrong qui l’a conçu, une entreprise de Shenzhen qui fabrique des box sous son nom et pour d’autres marques. Google a coupé les ponts avec ce fabricant et lui interdit désormais de produire des appareils certifiés avec les applications Google.
Une porte dérobée dans le micrologiciel
La porte dérobée, x.cpe, est installée d’usine dans le micrologiciel, le logiciel de base de la box, avec les droits du système. Si on la désinstalle, elle revient au redémarrage. Videostrong vendait visiblement cet accès à des partenaires criminels, qui y chargeaient leurs propres modules. Ces modules servaient à la fraude publicitaire, au vol de données ou à faire de la box un proxy résidentiel, c’est-à-dire un relais qui fait passer le trafic des pirates par la connexion internet du foyer. En coupant aussi les serveurs de ces partenaires, Google estime les avoir privés d’au moins 10 millions d’autres appareils infectés.
En juillet 2025, Google avait déjà porté plainte contre BadBox 2.0, un botnet de plus de 10 millions d’appareils Android non officiels. Cette fois, XCPE touchait aussi des box certifiées, donc passées par les tests de Google. L’entreprise ne précise pas combien. Videostrong a contourné ces tests en chargeant le code malveillant seulement après le premier démarrage, et Google dit avoir revu ses contrôles. Pourtant, le 2 novembre, le site de Videostrong vantait encore une « Google Certified Android TV Box ».
Vérifiez donc la marque de votre boîtier : le code malveillant teste notamment s’il tourne sur une box Mecool, une marque de Videostrong. Google conseille d’acheter ses box chez des fabricants réputés et publie sur son site la liste de ses partenaires Android TV.
Pour aller plus loin
Box TV Android et clés : quel boîtier choisir pour votre TV en 2026 ?
Si vous voulez recevoir les meilleures actus Frandroid sur WhatsApp, rejoignez cette discussion.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.