Le bannissement de Videostrong par Google prouve que le label « certifié » ne suffit pas

La leçon facile de la plus grande affaire de botnet Android TV de l’année tient en une phrase: « n’achetez pas de box douteuses ». C’est un bon conseil. Mais ce n’est pas toute l’histoire, et il dédouane ceux qui auraient dû repérer le problème.

Voici ce qui s’est passé. Comme le rapporte BGR, Google a rompu ses liens avec Videostrong Technology, un fabricant basé en Chine, après la découverte que plus de 1,3 million de ses box Android TV exécutaient une porte dérobée nommée XCPE. Le Threat Intelligence Group de Google se dit très confiant: Videostrong a conçu cette porte dérobée et l’a installée volontairement, puis a vendu l’accès à des groupes criminels. Google et plusieurs sociétés de sécurité ont démantelé le botnet la semaine dernière.

Les détails sont peu reluisants. Le logiciel malveillant était intégré au firmware, s’exécutait avec des privilèges système et, selon Google, servait notamment à la fraude publicitaire et à des réseaux de proxys résidentiels. Dans certains cas, les opérateurs réalisaient même des captures d’écran en direct et récupéraient des informations de comptes. Le Brésil fait partie des pays les plus touchés; O Globo le désigne dans son titre comme le deuxième pays le plus affecté, même si des box infectées ont aussi été repérées aux États-Unis.

Le badge « certifié » devait empêcher exactement cela

Le détail qui devrait gêner tout le monde, c’est que Videostrong n’était pas un fabricant de clones éphémère. C’était un partenaire Android certifié. Google oblige ces fabricants à soumettre leurs appareils à des tests de compatibilité et de sécurité avant de pouvoir les commercialiser avec les applications Google. Selon BGR, Videostrong a dissimulé son code pour que les tests ne le détectent pas, ne le chargeant qu’après le premier démarrage.

Le récit bien net, « certifié = sûr, non certifié = piège », ne survit donc pas à l’épreuve des faits. Notre avis: la certification reste le meilleur pari, car elle vous donne au moins un responsable et une entreprise capable de couper le courant, comme Google vient de le faire. Mais c’est un filtre, pas une garantie. Un test qui se valide au jour zéro et qu’on déjoue en attendant le second démarrage est un test écrit pour des fabricants honnêtes.

À son crédit, Google affirme avoir mis à jour son processus de contrôle pour que d’autres ne puissent plus faire passer un logiciel malveillant au travers des tests de la même manière. C’est la bonne décision. C’est aussi admettre que l’ancien processus avait une faille, et qu’il a fallu plus d’un million d’appareils pour la trouver.

Avec les box bon marché, les incitations dérapent

Rien de tout cela ne fait du matériel d’entrée de gamme un choix sûr. Cela en fait un choix pire. Quand une box se vend à très bas prix, la marge doit venir de quelque part, et Videostrong a trouvé où: louer les appareils de ses clients et leurs connexions internet domestiques. Synthient, l’une des sociétés de sécurité impliquées, affirme avoir acheté une Mecool KM9PRO Max fin 2025 et y avoir trouvé la porte dérobée déjà installée. Elle ajoute que ces box sont prisées de ceux qui veulent installer des applications tierces pour contourner les DRM.

C’est un point que nous soulignerions, comme une opinion et non un fait: l’acheteur qui cherche une box capable de ce que les appareils grand public refusent de faire est aussi un acheteur qui a peu de chances de regarder la certification. Nul ne devrait être blâmé de vouloir une box TV pas chère. Mais le prix que l’on ne voit pas, c’est que son réseau, et peut-être ses comptes, entrent dans le business de quelqu’un d’autre.

Le nettoyage est pénible. Google a constaté que XCPE peut désactiver la vérification des applications de Play Protect et que, si vous supprimez la porte dérobée, elle se réinstalle depuis le firmware au redémarrage suivant. Synthient conseille de déconnecter les appareils de votre réseau, de changer votre mot de passe Wi-Fi et de mettre à jour le firmware de votre routeur. Selon BGR, la société estime qu’environ un demi-million des 1,3 million de box contactent encore chaque jour les serveurs des opérateurs. Synthient a aussi publié une liste de plus de 180 modèles d’appareils liés à la campagne, même si la présence d’un modèle sur la liste ne confirme pas qu’un exemplaire donné est compromis.

Ce que les acheteurs doivent faire, et ce que Google leur doit

Pour les acheteurs: si vous possédez une box sans marque, vérifiez si votre modèle figure sur la liste de Synthient et, si c’est le cas, envisagez de la débrancher. À l’achat, privilégiez les appareils de fabricants qui ont une vraie réputation à perdre, et considérez un prix anormalement bas comme un signal d’alerte, pas comme une bonne affaire. Et ne comprenez pas « certifié Google » comme « audité pour toujours ».

Pour Google: interdire à Videostrong de fabriquer des appareils certifiés ou de fournir des logiciels à d’autres fabricants certifiés est une réponse forte, et l’action en justice contre les domaines et les serveurs compte aussi. Mais l’ordre des événements est à l’envers. L’interdiction est arrivée après les dégâts. Des contrôles de comportement après le démarrage, des audits par sondage des appareils livrés et un examen plus poussé des firmwares qui conservent un accès privilégié devraient être la norme pour un programme qui permet à une entreprise d’apposer le nom de Google sur la boîte.

Notre verdict: restez sur des appareils certifiés, mais cessez de considérer le certificat comme la fin de la discussion. L’affaire Videostrong montre que la confiance se gagne ou se perd dans la chaîne d’approvisionnement, et que Google, qui distribue le badge, doit y regarder plus tôt que cette fois.