Les utilisateurs pensaient acheter un appareil pour leur téléviseur. Selon les enquêtes de Google et de Synthient, certains boîtiers avaient aussi une autre activité, bizarrement pas annoncée sur l’emballage : rapporter de l’argent à des opérateurs de logiciels malveillants.
Le boîtier regarde aussi du côté de votre connexion
Au moins 1,3 million d’appareils auraient été compromis par une porte dérobée baptisée « x.cpe », intégrée directement dans leur firmware. Synthient estime qu’environ 500.000 de ces boîtiers communiquaient quotidiennement avec des serveurs. Les équipements touchés, notamment commercialisés sous les marques MECOOL et YOKATV, sont particulièrement présents en Malaisie, au Mexique et au Brésil.
L’analyse d’un MECOOL KM9PRO Max acheté par Synthient donne une idée du problème. Une application préinstallée, nommée « com.oemservice », permet aux opérateurs d’installer discrètement des logiciels, de supprimer des applications et d’exécuter du code à distance.
Et inutile de compter uniquement sur une désinstallation : selon Google, dans les versions analysées, la porte dérobée se réinstalle au redémarrage depuis une copie conservée sur l’appareil. Ce dispositif sert à distribuer les logiciels de partenaires qui paient pour accéder aux équipements. Certains génèrent de fausses vues publicitaires en arrière-plan. D’autres utilisent la connexion internet du propriétaire comme relais pour du trafic provenant de tiers, au sein de réseaux de proxys résidentiels.
Tout cela se déroule sans demander son avis à l’utilisateur. Google décrit notamment un module AppSalt qui active lui-même un indicateur de consentement, sans afficher d’écran permettant de donner son accord. Voilà qui simplifie beaucoup les formalités. Un appareil peut même faire fonctionner plusieurs modules de proxy simultanément : Google en a observé jusqu’à trois sur un seul équipement. Google et Synthient attribuent l’opération au constructeur Videostrong. Les chercheurs s’appuient notamment sur des liens entre les infrastructures, des adresses électroniques et un document signé par un responsable du fabricant.
Le moteur de recherche annonce des actions judiciaires visant les serveurs et domaines de commande. Les mesures concernent aussi plus d’une douzaine de familles de logiciels malveillants distribuées par x.cpe. Comme celles-ci circulent par d’autres moyens, le groupe estime pouvoir également couper leur accès à au moins 10 millions d’appareils compromis supplémentaires.
Videostrong, ses futures filiales et sociétés affiliées sont désormais interdits de fabrication et de vente d’appareils Android certifiés, ainsi que de fourniture de logiciels à d’autres fabricants certifiés. Google reconnaît que des techniques de dissimulation ont permis de contourner certains contrôles et indique avoir revu ses vérifications. Pour les propriétaires concernés, Synthient recommande de débrancher les appareils et de s’en débarrasser définitivement. La mise hors service des serveurs ne nettoie pas les boîtiers.