Google a démantelé un botnet de plus de 1,3 million de boîtiers Android compromis par une porte dérobée intégrée à leur logiciel d’origine. Selon son enquête, le constructeur chinois Videostrong aurait volontairement piégé ses appareils pour en commercialiser l’accès auprès de cybercriminels, tout en contournant les contrôles de certification.
Des appareils compromis avant même leur commercialisation
Les propriétaires de ces boîtiers Android ignoraient que leur connexion Internet pouvait être utilisée pour générer de fausses impressions publicitaires ou faire transiter le trafic d’inconnus. La porte dérobée était déjà présente dans le logiciel de leurs appareils au moment de l’achat et, selon le Google Threat Intelligence Group (GTIG), qui a publié son enquête le 2 novembre, son installation aurait été organisée par le fabricant lui-même.
Les chercheurs accusent Videostrong Technology, constructeur chinois fournissant également du matériel à d’autres marques, d’avoir développé et entretenu le botnet XCPE pour vendre l’accès aux appareils compromis à des opérateurs criminels. L’analyse de plusieurs générations de firmwares révèle une architecture malveillante progressivement perfectionnée, avec des mécanismes destinés à échapper à la détection. Google estime, avec un degré de confiance élevé, que cette continuité témoigne d’une opération délibérée plutôt que d’une négligence.
Les acheteurs d’accès pouvaient ensuite installer leurs propres logiciels malveillants, détourner les appareils pour la fraude publicitaire ou les intégrer à des réseaux de proxys résidentiels. Dans ce dernier cas, les connexions des victimes servaient d’intermédiaires à des activités menées par des tiers, qui pouvaient ainsi masquer leur véritable origine.
Une porte dérobée qui résistait à sa suppression
Identifié sous les noms x.cpe ou com.oemservice, le malware disposait de privilèges système et pouvait se réinstaller au redémarrage grâce à une copie conservée dans une partition du fabricant. Les chercheurs ont également observé une évolution vers une architecture modulaire, permettant de charger différents composants selon les besoins des opérateurs : exécution de commandes, installation silencieuse d’applications, captures d’écran ou désactivation de Google Play Protect.
L’enquête révèle surtout comment Videostrong aurait réussi à faire certifier certains appareils malgré la présence du code malveillant. En dissimulant des fonctionnalités et en activant certains composants après le premier démarrage, le fabricant aurait contourné les vérifications effectuées dans le cadre du programme de certification Android. Un dispositif destiné à garantir la conformité des équipements pouvait ainsi valider des appareils dont le comportement réel échappait aux tests.
Google revoit ses contrôles, les appareils restent compromis
Google a engagé des actions judiciaires et techniques pour neutraliser les infrastructures de XCPE et celles de plusieurs réseaux criminels associés. Le groupe estime que ces opérations pourraient également empêcher l’exploitation de plus de dix millions d’autres appareils compromis par les partenaires du botnet, sans que ceux-ci soient nécessairement infectés par XCPE.
Videostrong a été exclu du programme de certification Android et ne peut plus fournir de logiciels destinés aux appareils certifiés intégrant les services de Google. Le groupe annonce également un renforcement de ses procédures de vérification des firmwares, dont les faiblesses avaient permis à l’opération de passer inaperçue.
La neutralisation des serveurs ne supprime toutefois pas le malware présent dans les appareils déjà commercialisés. Leur sécurité dépend désormais de la possibilité d’obtenir un firmware sain, une perspective incertaine lorsque le fabricant est précisément soupçonné d’avoir organisé leur compromission. Pour les entreprises comme pour les distributeurs, l’affaire rappelle les limites d’une certification qui ne garantit pas, à elle seule, l’intégrité du logiciel livré avec un équipement.
