Plus de 1,3 million de boîtiers Android TV ont été livrés avec un logiciel malveillant qui louait en secret la connexion internet de leurs utilisateurs et participait à des fraudes publicitaires, selon une annonce de Google relayée par KrebsOnSecurity le 3 novembre. Google et ses partenaires du secteur ont démantelé le botnet, baptisé XCPE, dans une opération qui devrait aussi couper l'accès à au moins 10 millions d'appareils compromis supplémentaires, par l'intermédiaire de l'infrastructure de leurs affiliés.
La population touchée ne se limite pas aux appareils de streaming télévisuel. Le Google Threat Intelligence Group (GTIG) a retrouvé le même logiciel malveillant dans des dispositifs de télésanté, des machines de karaoké et des systèmes d'affichage numérique fonctionnant sous Android, même si les boîtiers TV représentaient la majorité des infections XCPE.
Le GTIG et d'autres experts du secteur ont désigné le fabricant chinois de boîtiers TV Videostrong Technology Co. comme responsable de l'intégration du logiciel malveillant. Google affirme avoir rompu ses liens avec ce fabricant et engagé une action en justice pour faire fermer les domaines et les serveurs utilisés pour contrôler le botnet et installer des logiciels malveillants supplémentaires.
Du premier démarrage à une connexion louée
L'intrusion a commencé chez le fournisseur de l'appareil. Google exige que les fabricants Android passent des tests de compatibilité et de sécurité, mais affirme que Videostrong a trouvé le moyen de charger un logiciel malveillant dès le premier démarrage de l'appareil par le client. Google indique avoir depuis corrigé cette faille.
Le logiciel malveillant inscrivait les appareils dans XCPE, un nom tiré de l'un de ses composants de code essentiels. Il chargeait ensuite un logiciel qui rendait l'adresse internet du propriétaire disponible à la revente, par l'intermédiaire de plusieurs services de proxys résidentiels. Ces services permettent à leurs clients de faire transiter leur trafic par la connexion d'une autre personne, afin de masquer leur propre adresse ou de paraître situés ailleurs.
Pour les propriétaires concernés, la connexion devenait ainsi une infrastructure au service du trafic d'inconnus, à leur insu et sans leur consentement. KrebsOnSecurity a documenté l'usage de proxys résidentiels pour des prises de contrôle de comptes, des fraudes publicitaires et l'extraction de contenus à grande échelle destinée à des projets d'IA.
Le GTIG indique que Videostrong vendait l'accès à des affiliés criminels et installait leurs modules malveillants sur les appareils infectés. La porte dérobée du fabricant servait donc de canal de distribution à plusieurs opérateurs, et non de mécanisme de livraison pour un seul service de proxys.
Les logiciels proxy trouvés sur les boîtiers infectés
Le GTIG a identifié plusieurs fournisseurs de proxys résidentiels dont les kits de développement logiciel étaient systématiquement téléchargés par les appareils infectés par XCPE : AppSalt, aussi connu sous le nom de Honeygain ; NetNut ; EarnFM ; Traffmonetizer ; Jaguar ; LINKFOG ; BMW/IPWeb ; et GaGaNode.
AppSalt/Honeygain appartient à Oxylabs, basée à Vilnius. En octobre 2026, Oxylabs a relancé son activité sous la marque Source, après avoir reçu 130 millions de dollars de la société de capital-investissement Warburg Pincus, dans une transaction qui valoriserait l'entreprise à 3,6 milliards de dollars selon certaines informations. Oxylabs n'a pas répondu à la demande de commentaire de KrebsOnSecurity.
NetNut est exploitée par Alarum Technologies, une société israélienne cotée en bourse. En juillet 2026, le FBI et des partenaires du secteur ont saisi des centaines de domaines associés, en affirmant que NetNut exploitait un autre botnet de proxys pour boîtiers TV, appelé Popa.
Synthient, une start-up spécialisée dans le suivi des proxys et citée dans l'annonce de Google, a également examiné un boîtier préinfecté populaire vendu sous la marque MECOOL par la société chinoise cotée en bourse Skyworth Technology. Son rapport du 3 novembre conclut que MECOOL intégrait le logiciel malveillant de Videostrong et installait AppSalt/Honeygain ainsi que d'autres composants proxy.
Le fondateur de Synthient, Ben Brundage, a déclaré à KrebsOnSecurity que le logiciel malveillant de Videostrong distribuait aussi un logiciel du service proxy Grass. Dans un article de KrebsOnSecurity de novembre 2025, un chercheur de Censys avait trouvé un logiciel Grass intégré à des appareils de streaming Superbox ; le fondateur de Grass avait nié tout lien avec ce fabricant.
La promotion grand public a aussi aidé ces produits à trouver leurs acheteurs. KrebsOnSecurity avait déjà rapporté que Superbox et des boîtiers similaires attiraient des clients par l'intermédiaire de TikTok et d'autres influenceurs des réseaux sociaux, qui vantaient l'accès à des centaines de services de télévision payante piratés, moyennant un paiement unique. Synthient indique que la popularité de MECOOL a grimpé après une recommandation de la chaîne YouTube Linus Tech Tips en 2023, une chaîne qui compte près de 17 millions d'abonnés.
Pourquoi le démantèlement pourrait dépasser XCPE
Cette opération fait suite à des travaux antérieurs qui ont mis en lumière la manière dont une infrastructure de proxys résidentiels peut permettre des infections à l'intérieur des réseaux des clients. En janvier 2026, Synthient a documenté le botnet distinct Kimwolf, qui a compromis des millions de boîtiers Android pratiquement du jour au lendemain, grâce à une vulnérabilité largement répandue dans les services de proxys résidentiels. Cette faille permettait d'attaquer d'autres appareils Android présents sur les réseaux locaux des propriétaires de boîtiers TV.
Kimwolf lançait alors, dans le monde entier, des attaques par déni de service distribué d'une ampleur exceptionnelle. Les travaux de Synthient ont poussé des dizaines de fournisseurs de proxys à corriger leurs réseaux, ce qui a fragmenté le botnet et rendu ses attaques plus faciles à gérer pour les opérateurs de réseau. La Motion Picture Association s'est ensuite associée à Synthient pour acheter et examiner des boîtiers Android TV populaires, y compris des appareils infectés par Kimwolf et d'autres botnets IoT.
Pour XCPE, la portée attendue du démantèlement tient autant aux affiliés qu'à la porte dérobée du fabricant. Le GTIG affirme que les affiliés de Videostrong, spécialisés dans les proxys et la fraude publicitaire, distribuaient chacun leurs modules par des canaux situés en dehors de XCPE. Il estime donc que l'opération devrait couper l'accès à au moins 10 millions d'appareils compromis supplémentaires. Brundage a qualifié le chiffre de 1,3 million d'appareils XCPE de « très conservateur » et a décrit l'action comme probablement la plus importante jamais menée contre des boîtiers TV piégés que Synthient ait observée.
