Michael JohnsonLes propriétaires d’un boîtier TV Android équipé d’un micrologiciel Videostrong devraient vérifier la provenance de leur appareil : le 2 novembre, Google a annoncé avoir perturbé, avec des partenaires, le botnet XCPE, qui comptait plus de 1,3 million de boîtiers. Dans le cadre de cette opération, Google a cherché à faire désactiver les serveurs de commande et les domaines malveillants, et Videostrong s’est vu interdire de produire des appareils Android certifiés préinstallés avec des applications Google. Google a décrit cette opération comme une réponse à une porte dérobée intégrée au micrologiciel de plusieurs modèles.
Ce qui a été désactivé
Selon le Google Threat Intelligence Group, XCPE utilisait un composant intégré au micrologiciel, nommé x.cpe. Celui-ci communiquait avec un serveur de commande, recevait des instructions et téléchargeait des modules supplémentaires. Google a fait état de démarches juridiques visant les domaines et serveurs par lesquels Videostrong gérait le botnet et installait des composants malveillants, ainsi que les domaines de commande de plus d’une douzaine de familles de logiciels malveillants.
L’Agence nationale de la police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI ont participé à l’opération. Google a également déclaré avoir interdit à Videostrong, ainsi qu’à ses futures filiales et sociétés affiliées, de fabriquer et de vendre des appareils Android certifiés et de fournir des logiciels à d’autres fabricants certifiés. L’entreprise a aussi indiqué avoir modifié les contrôles d’intégrité du micrologiciel d’Android TV.
La formule « perturber le fonctionnement » est plus juste que de promettre un nettoyage immédiat de chaque téléviseur. Google décrit le démantèlement de l’infrastructure de commande et des domaines associés ; sa publication ne fait pas état d’une correction à distance du micrologiciel de tous les boîtiers déjà vendus. La désactivation des serveurs prive les opérateurs d’importants moyens de contrôle et de livraison de modules, mais ne réécrit pas à elle seule les logiciels déjà installés.
Pourquoi l’infection survivait au redémarrage
Le composant malveillant se trouvait dans la partition système du micrologiciel. Google indique que x.cpe s’exécutait avec des privilèges système et pouvait rétablir sa copie après un redémarrage si l’utilisateur supprimait l’application de la partition de données ordinaire. Chercher une application suspecte dans les paramètres Android pour la supprimer ne garantissait donc pas le nettoyage du boîtier.
La porte dérobée maintenait une connexion persistante avec l’infrastructure de commande et pouvait recevoir des instructions pour installer des applications de manière cachée, lancer un shell et collecter des données. Google a indiqué avoir observé la capture de captures d’écran, la saisie de commandes, la transmission d’informations sur les comptes et le système, ainsi que l’exécution de scripts. Les modules téléchargés transformaient les appareils en nœuds de réseaux de proxys résidentiels ou les utilisaient pour la fraude publicitaire ; certains installaient d’autres logiciels malveillants.
Un boîtier TV ordinaire pouvait ainsi devenir un élément de l’infrastructure réseau d’un tiers. Le trafic passant par la connexion domestique pouvait sembler provenir de l’utilisateur lui-même, alors que l’appareil exécutait en réalité les instructions d’un opérateur distant. Parmi les activités identifiées, Google a également cité la fraude publicitaire et le transfert de données.
Que faire si vous possédez un boîtier
Commencez par vérifier la marque et le modèle exacts de l’appareil, le fabricant du micrologiciel et les informations relatives à sa certification. La marque seule ne permet pas de confirmer une infection : Google évoque de nombreux modèles et marques auxquels le logiciel de Videostrong a été intégré ; la provenance de l’appareil et son micrologiciel sont donc déterminants. Comparez ces informations à la liste à jour des partenaires officiels d’Android TV et aux documents du vendeur ou du fabricant.
Si vous ne parvenez pas à établir la provenance de l’appareil ou s’il appartient à l’écosystème concerné, déconnectez le boîtier du réseau et demandez au vendeur ou au fabricant des instructions confirmées pour le remplacer ou réinstaller son micrologiciel. La réinitialisation et la suppression d’applications ne doivent pas être considérées comme une solution suffisante pour un composant qui, selon Google, réside dans le micrologiciel système et se rétablit après le redémarrage. N’installez pas des images de micrologiciel trouvées au hasard sur des forums : une image inadaptée peut rendre l’appareil inutilisable ou créer de nouveaux risques.
Si vous avez utilisé le boîtier pour vous connecter à des comptes ou afficher des informations personnelles, vérifiez l’activité de ces comptes depuis un autre appareil de confiance et changez les mots de passe si vous constatez des signes d’accès non autorisé. Cette mesure protège les comptes : elle ne nettoie pas le boîtier lui-même, auquel il faut donc apporter une réponse distincte.
Ce qui subsiste après l’opération
Google associe XCPE à l’installation délibérée et à l’utilisation commerciale de la porte dérobée de Videostrong. L’entreprise estime également que la désactivation des domaines de commande des modules associés pourrait empêcher plus de 10 millions d’autres appareils compromis, en dehors de XCPE, d’y accéder. Il s’agit d’une estimation de Google concernant l’effet potentiel des mesures visant l’infrastructure commune, et non d’un nombre confirmé d’appareils nettoyés.
Pour les utilisateurs, la principale conclusion pratique est simple : si le boîtier provient d’une source inconnue ou utilise un micrologiciel Videostrong, supprimer des applications et redémarrer ne garantit pas qu’il soit sain. Vérifier le modèle et la provenance, puis remplacer l’appareil ou restaurer son micrologiciel selon une procédure confirmée est une démarche plus fiable que d’essayer de supprimer manuellement un seul composant visible.
