Un article de BGR publié le 4 novembre rapporte que Google Threat Intelligence Group (GTIG) a découvert la porte dérobée XCPE sur plus de 1,3 million de boîtiers Android TV associés à Videostrong Technology. Google et des sociétés de sécurité ont perturbé le botnet, un réseau d’appareils infectés pilotés à distance. Pour les propriétaires, la différence essentielle est que couper ses serveurs de commande ne répare pas le micrologiciel des boîtiers.
Couper les serveurs de commande peut freiner un botnet ; cela ne supprime pas une porte dérobée intégrée au micrologiciel.
Ce que Google a fait après la découverte
BGR date le rapport de GTIG du 2 novembre 2026 et situe l’interruption du botnet la semaine précédant son article du 4 novembre. Le média rapporte aussi que Google a rompu son partenariat avec Videostrong et lui a interdit de fabriquer des appareils Android certifiés ou de fournir des logiciels à d’autres fabricants certifiés.
Les plus de 1,3 million de boîtiers concernés étaient associés à Videostrong. Ce chiffre ne porte pas sur l’ensemble des appareils Android TV. Au moment du compte rendu de BGR, Synthient estimait qu’environ 500 000 de ces boîtiers contactaient encore les serveurs chaque jour.
Comment XCPE opérait
Selon BGR, XCPE était intégré au micrologiciel et disposait de privilèges système. Au démarrage, la porte dérobée envoyait notamment le numéro de série et l’adresse MAC de l’appareil aux serveurs de Videostrong, puis attendait des instructions. Ses opérateurs pouvaient installer des applications à distance ou exécuter des commandes shell, c’est-à-dire des commandes système.
Synthient a trouvé XCPE sous le nom de paquet com.oemservice sur un exemplaire du Mecool KM9PRO Max acheté fin 2025, rapporte BGR. Google aurait également relevé jusqu’à trois kits de proxy résidentiel sur un même boîtier. Sur certains appareils, les opérateurs prenaient des captures d’écran en direct et récupéraient des informations de compte.
Pourquoi la coupure des serveurs ne nettoie pas un boîtier
L’interruption de l’infrastructure de commande ne signifie pas que chaque appareil a été débarrassé de XCPE. BGR rapporte que le micrologiciel pouvait réinstaller la porte dérobée après un redémarrage. Supprimer le paquet ne suffisait donc pas à régler le problème sur un appareil infecté.
Une correspondance avec un modèle de la liste de plus de 180 modèles établie par Synthient ne prouve pas qu’un exemplaire donné est infecté. Cette liste peut orienter les recherches, mais elle ne constitue pas un diagnostic individuel.
Les précautions utiles sur un réseau domestique
Pour un boîtier potentiellement concerné, Synthient conseillait, selon BGR, de le déconnecter du réseau, de changer le mot de passe Wi-Fi et de mettre à jour le micrologiciel du routeur.
Kaspersky recommande plus généralement de placer les boîtiers TV et les autres objets connectés sur un réseau Wi-Fi séparé, en gardant téléphones, ordinateurs et stockage réseau sur le réseau principal. Cette segmentation peut limiter l’accès d’un appareil compromis aux autres équipements du foyer. Elle ne retire pas XCPE du micrologiciel.
