Botnet XCPE : 1,3 million de box Android piégées par leur fabricant

Google a démantelé le botnet XCPE, qui avait infecté plus de 1,3 million de boîtiers Android TV dans plus de 200 pays, selon un billet du Google Threat Intelligence Group publié le 3 novembre 2026. Le plus inquiétant n'est pas la taille du réseau mais son origine : Google affirme, avec un niveau de confiance élevé, que la porte dérobée a été conçue, déployée et exploitée intentionnellement par Videostrong Technology Co., le fabricant chinois basé à Shenzhen, lui-même certifié par Google pour produire ces appareils Android.

Il faut préciser un point pour rester rigoureux sur le récit « piégé en usine » : le code malveillant n'était pas actif dès la sortie de la chaîne de production. D'après Google, Videostrong a utilisé des techniques d'obfuscation pour exploiter une faille dans les tests de certification et ne charger le code malveillant qu'après le premier démarrage de l'appareil, une fois les vérifications passées. C'est cette nuance qui transforme l'affaire en cas d'école pour les pros du web : la question n'est plus « ai-je cliqué sur un lien piégé » mais « puis-je faire confiance à un appareil neuf, certifié, et pourtant compromis dès sa conception ». Avec des box, caméras ou routeurs connectés sur le même réseau que des outils professionnels, la réponse engage directement la sécurité de l'entreprise.

01Une backdoor conçue pour passer les tests de Google

Le détail technique est ce qui distingue XCPE d'un malware classique installé après-coup. Selon le billet du Google Threat Intelligence Group, Videostrong a intégré la porte dérobée au firmware dès la conception, mais l'a gardée dormante le temps de passer la fenêtre de certification. Citation verbatim de Google : « Videostrong employed obfuscation techniques to exploit a gap in our tests and load malicious code after the device's first boot. »

Concrètement, l'appareil neuf sorti de sa boîte pouvait répondre aux critères de sécurité d'Android au moment du contrôle, puis basculer en mode compromis dès sa première mise en service chez l'utilisateur. Ce décalage temporel est précisément ce qui a permis au botnet de passer sous le radar pendant une période prolongée, malgré la certification officielle de Google apposée sur les boîtiers.

02Videostrong, le fabricant qui monétisait sa propre backdoor

Google ne décrit pas un prestataire négligent ou une faille exploitée par un tiers, mais un modèle économique monté par le fabricant lui-même. Citation verbatim : « Videostrong monetized the backdoor by selling access to criminal affiliates and loading those affiliates' malware modules onto infected devices. » Autrement dit, Videostrong vendait l'accès aux appareils compromis à des groupes criminels tiers, qui y déployaient ensuite leurs propres modules malveillants.

Des capacités de contrôle quasi total

Une fois activée, la backdoor permettait d'installer silencieusement des applications, de désactiver la vérification d'applications de Play Protect, d'exécuter des commandes shell, de capturer des captures d'écran, d'injecter des frappes clavier et de sonder le réseau local de la victime, selon Google. Sur un réseau domestique ou de petite entreprise, cette dernière capacité (le sondage du réseau local) est celle qui transforme un simple boîtier TV en point d'entrée vers d'autres équipements connectés, un schéma déjà documenté sur d'autres familles d'objets connectés compromis, comme le montrait notre décryptage des frigos piratés dans 6 pays d'Europe.

03Une coalition de six acteurs pour démanteler le réseau

Le démantèlement n'est pas l'œuvre de Google seul. L'opération a mobilisé la Police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI, selon le billet officiel. Google a aussi pris une sanction structurelle : Videostrong, et ses éventuelles filiales futures, sont désormais bannis de la fabrication d'appareils Android certifiés.

Côté presse spécialisée, The Hacker News précise, dans son article du 2 novembre 2026, que la fermeture des domaines de commande utilisés par les affiliés criminels coupait l'accès à au moins 10 millions d'appareils compromis supplémentaires, au-delà du 1,3 million de boîtiers directement rattachés à XCPE.

04XCPE et BadBox 2.0, deux chapitres du même problème

XCPE n'est pas un cas isolé. Selon Cybernews, cette backdoor et ce botnet appartiennent au même écosystème que BadBox 2.0, un autre réseau ayant infecté plus de 10 millions de boîtiers TV et autres appareils, démantelé par Human, Google et TrendAI en mars 2025. Deux démantèlements en vingt mois, sur des volumes qui se chiffrent en millions d'appareils à chaque fois, dessinent un problème structurel plutôt qu'un incident isolé : une partie de la chaîne de fabrication de dispositifs Android grand public reste un point faible systémique, difficile à auditer depuis l'extérieur.

Pour les pros du web qui suivent aussi les risques côté objets connectés, notre analyse de l'étude Anthropic sur les virus IA visant les objets connectés pointait déjà ce terrain comme une zone grise encore peu surveillée par les équipes sécurité classiques, davantage focalisées sur les postes de travail et les serveurs que sur les boîtiers périphériques du réseau.

05Ce que ça change pour qui administre un réseau pro

Pour un administrateur de site, de serveur ou de réseau professionnel, l'affaire XCPE déplace la question de sécurité habituelle. On forme ses équipes à ne pas cliquer sur un lien suspect, à vérifier un expéditeur, à patcher ses CMS. Mais la certification d'un appareil par un acteur comme Google ne garantit plus, dans ce cas précis, l'absence de compromission intentionnelle intégrée par le fabricant lui-même.

Ce n'est plus l'utilisateur qui a cliqué sur un lien piégé, c'est le fabricant certifié qui a vendu l'accès à des criminels.

Trois réflexes de segmentation à vérifier

Le réflexe concret, pour un bureau ou un petit réseau d'entreprise qui héberge aussi des box TV, caméras ou autres objets connectés grand public : les isoler sur un VLAN ou un réseau Wi-Fi invité séparé des postes de travail et des accès aux outils métiers, couper par défaut leur capacité à scanner ou atteindre d'autres appareils du réseau local, et surveiller les connexions sortantes inhabituelles plutôt que de se fier uniquement au logo « certifié Android » ou à la réputation de la marque affichée sur la boîte.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo