Google annonce avoir démantelé XCPE, un botnet de plus de 1,3 million de boîtiers TV Android piégés en usine par Videostrong.

Dans un billet du **2 novembre 2026**, Google affirme avoir démantelé « la semaine dernière », avec la **police nationale japonaise** et plusieurs sociétés de sécurité, le botnet **XCPE** : **plus de 1,3 million de boîtiers TV Android** dont la porte dérobée était préinstallée, selon Google, par le fabricant chinois **Videostrong**. Le partenaire TrendAI a compté **1 472 554 appareils** entre juin et octobre. Pas de split dans les unes françaises : 01net et Next reprennent l'accusation de Google, Videostrong n'a pas répondu publiquement.

L'analyse

📌 **FAITS**

• **Infiltration à la chaîne** : Selon Google, le constructeur chinois Videostrong a préinstallé une porte dérobée baptisée `x.cpe` dans la partition système (`/oem`) de plus de 1,3 million de boîtiers TV Android (marques MECOOL, Dreamstar, Showbox, etc.).

• **Piratage persistant** : Dès le premier allumage, la porte dérobée désactivait la protection Google Play Protect pour installer des logiciels malveillants et transformer le matériel en proxy résidentiel ou en outil de fraude publicitaire.

• **Démantèlement international** : Google, en coalition avec la police nationale japonaise et plusieurs sociétés de sécurité (Lumen, HUMAN Security, Plume, Synthient, TrendAI), a fait fermer par voie judiciaire les serveurs de commande. Google estime couper aussi l'accès à au moins 10 millions d'appareils supplémentaires, compromis par d'autres canaux que XCPE.

📍 **CONTEXTE**

• Ce piratage direct dans la chaîne d'approvisionnement rappelle d'autres opérations malveillantes similaires menées via des matériels bas de gamme, telles que **Badbox**, **Triada** ou **Keenadu**.

• Aujourd'hui, cette affaire montre que la certification logicielle ne garantit pas l'absence de failles lorsque le fabricant altère intentionnellement le matériel ou le firmware avant sa mise en vente.

👥 **ACTEURS**

• **Google** : A révisé ses protocoles de certification Android TV et banni définitivement Videostrong ainsi que ses filiales de son écosystème.

• **Videostrong Technology Co.** : Fabricant OEM/ODM basé à Shenzhen, accusé d'avoir délibérément monétisé l'accès à ses appareils compromis auprès de réseaux criminels.

• **Chercheurs en cybersécurité (TrendAI, Synthient)** : Comptent 182 (Synthient) ou 206 (TrendAI) modèles touchés et recommandent la mise au rebut des appareils concernés.

📊 **ENJEUX**

• **Pour le consommateur** : Une réinitialisation d'usine ne supprime pas l'infection car le code malveillant est ancré dans la partition système d'origine. La seule solution de protection consiste à débrancher définitivement l'appareil ou à l'isoler sur un réseau privé.

• **Risques financiers et d'usurpation** : Vol de mots de passe, fuite de données personnelles et utilisation de la connexion internet du foyer à des fins illégales.

🔮 **PERSPECTIVES**

• Le bannissement de Videostrong contraint les éditeurs et distributeurs à renforcer leurs audits matériels pour éviter que la chaîne d'approvisionnement ne devienne la faille principale des objets connectés.

Contexte

Ce piratage matériel direct rappelle les campagnes menées via les botnets Badbox, Triada et Keenadu, où des firmwares modifiés en usine servaient de porte d'entrée aux cybercriminels.

Pourquoi c'est important

Cette affaire touche directement la sécurité de votre réseau domestique : un boîtier TV piégé à l'usine expose vos mots de passe et votre connexion internet à des cybercriminels. Comme le programme malveillant est hébergé au cœur du matériel, les nettoyages classiques et la réinitialisation d'usine restent inefficaces.

Acteurs clés

Google — Éditeur du système Android
A mené l'opération de démantèlement et révisé sa certification.
Videostrong Technology Co. — Fabricant chinois OEM/ODM
Accusé d'avoir préinstallé la porte dérobée x.cpe.

Chiffres clés

plus de 1,3 million — Boîtiers enrôlés dans XCPE (Google Threat Intelligence)
1 472 554 (206 modèles) — Appareils infectés mesurés (TrendAI Research)
182 — Modèles compromis identifiés (Synthient, cité par 01net)
au moins 10 millions (estimation) — Appareils supplémentaires dont l'accès serait coupé (autres canaux que XCPE) (Google Threat Intelligence)

Et ensuite

À terme, les acteurs de la cybersécurité et les régulateurs imposeront des contrôles cryptographiques renforcés sur les chaînes d'assemblage d'objets connectés. Si ces exigences ne sont pas appliquées, la multiplication des boîtiers bas de gamme piratés à la source risque d'accroître les attaques par déni de service à l'échelle mondiale.

Questions fréquentes

Comment savoir si mon boîtier TV Android est concerné ?

Selon Synthient, cité par 01net, la plupart des 182 modèles compromis viennent de petites marques comme MECOOL, Dreamstar, Cruze TV, Switron ou Showbox. Aucune liste complète n'est sur la carte.

Une réinitialisation d'usine permet-elle de supprimer le piratage ?

Non, car le logiciel malveillant est logé directement dans la partition système d'origine (/oem) du firmware et se réinstalle automatiquement après chaque réinitialisation.

Que faire si je possède un boîtier TV infecté ?

Google ne donne pas de consigne directe. Next estime que le plus sûr est de débrancher l'appareil ou de l'isoler sur un réseau sans accès à Internet ; Synthient, cité par 01net, recommande de le jeter.

Sources

Lire l'analyse complète dans PRISM