Osegi
Sécurité·2 min de lecture

Google neutralise la porte dérobée de Videostrong sur des TV box

Google affirme que Videostrong livrait des TV box Android certifiées avec une porte dérobée alimentant le botnet XCPE. Les serveurs sont démantelés et le fabricant banni.

An Android TV box connected to a television, with a red warning symbol suggesting a hidden security backdoor.
Image: Hipertextual
SUMO Dialo ediviewer

Google a désactivé une porte dérobée installée dès l'usine sur des TV box Android du fabricant Videostrong, qui produisait des appareils certifiés Android TV et Google TV. Selon le groupe, cet accès servait à distribuer des logiciels malveillants et à piloter le botnet XCPE.

Google indique qu'environ 1,3 million de boîtiers Videostrong ont été infectés et intégrés à XCPE, mais estime que plus de 10 millions d'appareils auraient été compromis par cette porte dérobée. La campagne ne se limite pas à une marque : des traces du botnet figurent sur des modèles vendus sous les noms Mecool et YokaTV, entre autres. Synthient, partenaire de Google dans le démantèlement, précise que ces marques se sont fait connaître au Mexique, au Brésil, en Allemagne, en Malaisie, aux États-Unis et en Chine.

Un dispositif monétisé

Synthient a établi que la faille donnait aux pirates des privilèges au niveau du système, de la gestion de fichiers à l'exécution de code à distance. D'après Google, Videostrong vendait cet accès à des affiliés criminels, qui installaient leurs propres modules malveillants : fraude publicitaire, intégration discrète des appareils à des réseaux de proxys résidentiels et installation d'autres logiciels malveillants.

En tant que fabricant d'équipements d'origine (OEM) et de conception d'origine (ODM), Videostrong pouvait préinstaller les applications Google, ce qui renforçait la crédibilité de ses produits. Google explique que l'entreprise a recouru à l'obfuscation pour exploiter une lacune de ses tests de compatibilité et de sécurité, en chargeant le code malveillant après le premier démarrage. Le processus de validation a depuis été modifié.

Les mesures prises

Google a démantelé les serveurs et domaines servant à installer les logiciels malveillants, à contrôler XCPE et à diffuser d'autres familles de malwares, ainsi que les domaines de commande et de contrôle des modules des affiliés. Videostrong et toutes ses filiales, actuelles ou futures, ne peuvent plus fabriquer ni commercialiser d'appareils Android certifiés, ni vendre de logiciels à d'autres fabricants certifiés.

Synthient et Google Threat Intelligence ont publié des rapports techniques. Les chercheurs invitent les utilisateurs à inspecter ces boîtiers ou à cesser de les utiliser. Le sort des unités de ces marques encore vendues par des revendeurs reste inconnu.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:googlevideostrongandroid tvbotnetxcpemalware

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →