Google a annoncé le 2 novembre 2026 avoir perturbé l’infrastructure du logiciel malveillant XCPE et rompu ses liens avec Videostrong Technology Co. Les informations publiées sur l’opération évaluent à environ 1,3 million le nombre d’appareils enrôlés dans le réseau, dont la plupart étaient des boîtiers Android TV.
Ce que Google a annoncé sur XCPE
Google a attribué à Videostrong Technology Co. le développement et l’exploitation délibérés de XCPE à des fins financières. Selon l’évaluation de Google, le code malveillant était dissimulé dans le micrologiciel des appareils et pouvait s’activer après leur premier démarrage, échappant ainsi à une étape des contrôles de certification. Google a déclaré avoir modifié son processus d’examen des appareils, mis fin à ses relations avec Videostrong et interdit à l’entreprise de fabriquer des appareils Android certifiés ou de fournir des logiciels à des fabricants certifiés.
La plupart des quelque 1,3 million d’appareils associés à XCPE étaient des boîtiers Android TV. Les appareils touchés comprenaient aussi des équipements Android de karaoké, de télésanté et d’affichage numérique. Google a par ailleurs estimé que la perturbation des domaines de commande et de contrôle, ou C2, utilisés par des groupes affiliés pouvait couper l’accès à au moins 10 millions d’autres appareils compromis. Cette estimation concerne l’accès à l’infrastructure de ces groupes, distinct du nombre d’appareils enrôlés dans XCPE.
Comment fonctionnait la porte dérobée XCPE ?
XCPE était une porte dérobée intégrée au micrologiciel, le logiciel qui contrôle les fonctions de base d’un appareil. Selon les éléments attribués à Google, son activation après le premier démarrage permettait de passer sous les contrôles initiaux. Des modules associés servaient notamment à la fraude publicitaire, à l’intégration d’appareils dans des réseaux de proxys résidentiels et à la diffusion d’autres logiciels malveillants.
Le réseau et ses composants
Comment interpréter un modèle présent dans la liste de Synthient
La liste de Synthient recense des identifiants de modèles observés dans le cadre de la campagne, notamment KM9PRO, KM9PRO_MAX, KM7PLUS, LEAP-S1 et UHD_Google_TV_STB. Synthient précise qu’un nom de modèle correspondant à la liste ne suffit pas à établir qu’un appareil donné est compromis. La liste et ses précisions peuvent donc servir à repérer une correspondance, pas à diagnostiquer une unité particulière.
Une fiche associée à KM9PRO illustre aussi pourquoi plusieurs identifiants peuvent apparaître pour un même appareil : elle indique MeCool comme marque, SkyworthDigital comme fabricant, HPR311-MECOOL comme nom de produit et UHD Google TV STB comme modèle. Ces champs décrivent cette fiche ; ils ne signifient pas que tous les appareils portant l’un de ces noms sont infectés.
Ce que révèle la réapparition de l’application après redémarrage
Business Standard rapporte que Google a observé XCPE se réinstaller après le redémarrage d’un appareil, même après la suppression de son application visible. Dans le cas décrit, supprimer cette application ne suffisait donc pas à empêcher le retour du logiciel malveillant.
La réponse de MECOOL
Dans une vidéo publiée le 5 novembre 2026, la chaîne anglophone UG Tech lit un courriel attribué au service après-vente technique de MECOOL. Le message indique que Videostrong fabriquait les produits de la marque, que Videostrong avait fait appel auprès de Google et que MECOOL ne conseillait pas aux utilisateurs ordinaires d’arrêter d’utiliser leurs appareils.
