Google accuse Videostrong d'avoir infecté 1,3 million d'appareils Android

Un fonctionnement discret

Baptisé xcpe, le logiciel était intégré aux appareils dès leur sortie d'usine et obtenait des droits au niveau du système au premier démarrage. D'après Google, il pouvait installer des applications sans avertir l'utilisateur, exécuter des commandes, capturer l'écran et collecter des données de comptes et d'appareils. Il pouvait aussi transformer les appareils en proxys résidentiels, faisant transiter le trafic d'autres personnes par la connexion domestique des propriétaires.

Les appareils infectés ont servi à la fraude publicitaire, au vol de données, au routage de trafic non autorisé et à l'installation d'autres logiciels malveillants. La plupart étaient des boîtiers Android TV, mais le logiciel est aussi apparu sur des appareils de télésanté, des machines de karaoké et des systèmes d'affichage dynamique. La campagne a touché plus de 200 pays et plusieurs modèles et marques pendant des années. Google n'a pas précisé les appareils concernés.

Fondée en 2011, Videostrong est à la fois OEM et ODM et avait un accord avec Google pour développer des appareils Android certifiés. Son site affirme que ses produits servent plus de 100 millions de foyers dans plus de 60 pays.

Le démantèlement

Google a engagé des actions en justice pour fermer les domaines et serveurs qui pilotaient le réseau, modifié ses procédures d'examen des appareils et renforce la vérification du micrologiciel des appareils Android TV certifiés. L'opération a associé l'Agence nationale de la police du Japon et des sociétés de cybersécurité dont Lumen, HUMAN Security, Plume, Synthient et TrendAI.

Les partenaires ont aussi neutralisé des domaines de commande et de contrôle utilisés par plus de 12 autres familles de logiciels malveillants. Google estime que cela privera les criminels de l'accès à au moins 10 millions d'autres appareils compromis. Selon Charlie Snyder, du Google Threat Intelligence Group, ces opérations augmentent le coût de l'activité criminelle.

Le logiciel ne fonctionne probablement plus comme avant, mais identifier les appareils touchés demande des informations supplémentaires de Google, qui conseille d'acheter les appareils connectés auprès de fabricants fiables. Des cas voisins ont précédé : BadBox, démantelé l'an dernier par les autorités allemandes, et Vo1d, qui aurait infecté environ 1,6 million de téléviseurs Android.