Votre box Android TV cache peut-être une porte dérobée que son fabricant a installée volontairement
Les box Android TV vendues quelques dizaines d’euros promettent un accès illimité au streaming pour un budget minuscule. Google vient de couper les serveurs qui pilotaient 1,3 million d’entre elles, infectées avant même leur sortie d’usine. L’enquête désigne un responsable inattendu, le fabricant des appareils lui-même.
Vendus quelques dizaines d’euros sur les grandes places de marché, les boîtiers Android promettent des milliers de chaînes pour le prix d’un repas. Leur logiciel interne échappe presque toujours aux contrôles imposés aux partenaires certifiés. Pendant ce temps, la plateforme Google TV met régulièrement en avant de nouvelles fonctions sur l’écran d’accueil. Côté premier prix, les correctifs n’arrivent quasiment jamais.
L’alerte est partie d’une analyse de trafic réseau. Des chercheurs ont repéré des boîtiers de marques différentes qui dialoguaient avec le même domaine suspect. Google a coupé cette infrastructure la semaine dernière, main dans la main avec la police japonaise et plusieurs sociétés de sécurité. En parallèle, la firme de Mountain View cherche à assouplir la Protection Avancée d’Android, son verrou logiciel le plus strict.
Videostrong a glissé un mouchard dans le firmware de 1,3 million de boîtiers Android TV
Dans son rapport, le Google Threat Intelligence Group désigne Videostrong, fabricant installé à Shenzhen et connu pour sa marque MECOOL. Un module baptisé x.cpe dormait dans le firmware de plus de 1,3 million de boîtiers, répartis dans quelque 200 pays. Il tournait avec les privilèges du système. Après avoir ouvert un canal vers des serveurs distants, il coupait Play Protect pour installer des applications sans la moindre validation.
La monétisation reposait sur la revente d’accès. Videostrong louait ses machines à des complices, qui transformaient les salons en relais de proxys résidentiels ou en cliqueurs publicitaires automatisés. Sur le terrain, les enquêteurs ont retrouvé ce code dans du matériel de télémédecine, des karaokés et de l’affichage dynamique. Couper les domaines de ces partenaires criminels devrait priver les pirates d’au moins dix millions d’autres équipements compromis.
Place aux sanctions. Le fabricant se retrouve banni de l’écosystème Android certifié, privé du droit de préinstaller les applications maison et écarté de toute fourniture logicielle aux autres constructeurs. Côté prévention, Google renforce la vérification des firmwares sur les modèles validés. Dans les boîtiers déjà vendus, le code malveillant reste gravé et se réinstalle à chaque redémarrage. Mieux vaut donc puiser dans la liste officielle avant tout achat.
