Votre boîtier Android TV était peut-être déjà piraté avant de sortir de sa boîte
Vous pensiez acheter un petit boîtier Android pour transformer votre télévision en Smart TV ? Certains consommateurs ont surtout acheté un espion numérique, installé gratuitement par le fabricant. Google vient de démanteler un gigantesque réseau malveillant impliquant environ 1,3 million d’appareils dans plus de 200 pays. Et le plus inquiétant, c’est que certains étaient déjà infectés avant même leur première utilisation.
On connaissait les applications douteuses, les faux antivirus et les liens suspects reçus par SMS. Mais cette fois, les pirates ont choisi une méthode nettement plus confortable : installer leur logiciel malveillant directement dans les appareils, avant leur arrivée chez les consommateurs.
Résultat, des utilisateurs pouvaient brancher leur nouveau boîtier TV, le connecter au Wi-Fi et regarder tranquillement leurs séries sans se douter que leur connexion Internet travaillait également pour quelqu’un d’autre. Une sorte de colocataire numérique, mais qui ne paie ni le loyer ni l’abonnement Internet.
Un fabricant directement accusé par Google
Dans un rapport publié le 2 novembre 2026, le Google Threat Intelligence Group révèle avoir participé au démantèlement de XCPE, un réseau de boîtiers Android infectés.
Au centre de l’affaire figure Videostrong Technology, une entreprise chinoise spécialisée dans la fabrication de boîtiers Android TV, notamment pour d’autres marques.
Google estime, avec un niveau de confiance élevé, que le fabricant aurait lui-même développé et installé cette porte dérobée dans un objectif financier. La firme américaine a décidé de rompre ses relations avec Videostrong et de lui interdire de produire de nouveaux appareils Android certifiés intégrant les applications Google.
Autrement dit, Google accuse un fabricant d’avoir commercialisé des appareils dont il connaissait parfaitement la fonction cachée. Voilà une option qu’on ne retrouve généralement pas sur les fiches techniques.
Comment les pirates utilisaient-ils ces boîtiers ?
Le logiciel malveillant XCPE était intégré au firmware, le programme interne indispensable au fonctionnement de l’appareil. Une fois le boîtier connecté à Internet, les opérateurs pouvaient lui transmettre des instructions à distance : installer des applications, exécuter des commandes, récupérer certaines informations ou utiliser sa connexion Internet.
L’une des principales activités consistait à transformer les appareils en proxys résidentiels. Prenons un exemple concret. Vous possédez un boîtier infecté à Mons. Un individu situé à l’autre bout du monde peut utiliser votre connexion comme intermédiaire pour accéder à certains sites. Pour ces derniers, les requêtes semblent provenir de votre adresse IP belge.
Le dispositif pouvait également servir à générer de fausses interactions publicitaires afin d’encaisser des revenus frauduleux.
Google rapporte aussi des capacités plus intrusives, notamment des captures d’écran et la récupération d’informations. Cela ne signifie toutefois pas que chaque appareil infecté a subi toutes ces opérations.
Pourquoi Google n’avait-il rien détecté ?
C’est probablement l’aspect le plus embarrassant de cette affaire. Certains appareils concernés étaient certifiés Android TV et avaient donc franchi les contrôles imposés par Google aux fabricants.
Pourtant, le logiciel malveillant aurait utilisé des techniques de dissimulation permettant d’échapper aux vérifications initiales, puis de charger ses composants après le premier démarrage. XCPE disposait également de privilèges système élevés et pouvait contourner certaines protections de Google Play Protect.
Pire encore, le programme pouvait se réinstaller automatiquement après une tentative de suppression. Google affirme avoir renforcé ses procédures de vérification pour limiter ce type de manipulation.
Comment savoir si votre boîtier Android est concerné ?
Tous les appareils Android TV ne sont évidemment pas infectés. Les chercheurs ont notamment identifié XCPE sur un boîtier MECOOL KM9PRO Max, mais cela ne signifie pas que tous les exemplaires de ce modèle sont compromis.
Voici cinq précautions pour réduire les risques :
1
2
3
4
5
Attention à la réinitialisation !
Un retour aux paramètres d’usine ne suffit pas nécessairement. Si le logiciel malveillant est intégré au firmware, il peut survivre à la réinitialisation.
Dans certains cas, seul un firmware propre et vérifié, voire le remplacement de l’appareil, permet de résoudre durablement le problème.
Google a neutralisé le réseau, mais pas tous les appareils
Avec l’aide de plusieurs entreprises de cybersécurité et des autorités japonaises, Google a engagé des actions pour neutraliser les infrastructures utilisées par XCPE.
L’opération constitue une avancée importante, mais elle ne supprime pas automatiquement le logiciel installé sur les appareils des particuliers. Cette affaire rappelle surtout que la sécurité d’un objet connecté dépend aussi de son fabricant.
Pendant des années, on nous a recommandé de ne jamais installer n’importe quoi sur nos appareils. Désormais, il faudra parfois commencer par vérifier ce que le fabricant y a installé lui-même.
Et dire qu’à l’origine, on voulait simplement regarder Netflix.
Sources et références
Rapports officiels et enquêtes spécialisées publiés le 2 novembre 2026.
Shutting the Door on the XCPE Botnet
Rapport officiel de Google : 1,3 million d’appareils compromis, attribution à Videostrong, fonctionnement du réseau et mesures prises.
Google disrupts million-device XCPE Android malware botnet
Analyse technique de la porte dérobée, des appareils concernés et des limites d’une réinitialisation d’usine.
Industry Takedown of Botnet Hidden in 1.3 Million TV Boxes
Communiqué détaillant l’opération internationale menée avec Google, les chercheurs en cybersécurité et les autorités japonaises.
Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies
Couverture indépendante du démantèlement et de l’utilisation des connexions domestiques comme proxys.
Les modèles cités dans les enquêtes ne sont pas nécessairement tous infectés. Les informations concernent l’opération XCPE annoncée le 2 novembre 2026.
Les bons plans du jour sur Amazon
SteelSeries Apex Pro TKL Gen 3 · US QWERTY
Clavier gaming magnétique filaire USB-C.
Disposition américaine US QWERTY · Filaire · Noir.
Samsung Galaxy S25 Ultra · 256 Go Noir
Smartphone 6,9 pouces, RAM 12 Go, 256 Go.
Version Europe · Vendeur tiers · Livraison affichée : 11,12 € · Expédition sous 2 à 3 jours.
JBL Tune Flex 2 · Ghost Noir
Écouteurs sans fil avec réduction de bruit.
Prix relevés le 03/11/2026 à 08:26 (heure de Bruxelles), susceptibles de changer ; prix et disponibilité sur Amazon.fr au moment de l’achat faisant foi. Remises calculées sur la référence indiquée, arrondies à l’entier inférieur. Frais de livraison éventuels en supplément.
Liens affiliés : en tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
