Un simple boîtier permettant de regarder la télévision pourrait, à votre insu, servir à des cybercriminels pour générer de faux revenus publicitaires, acheminer du trafic Internet ou même voler des données. Google vient d’annoncer une importante opération contre un réseau qui exploitait plus de 1,3 million d’appareils Android dans le monde.

Le 2 novembre, Google a révélé avoir mené, avec plusieurs partenaires du secteur de la cybersécurité et les autorités japonaises, une opération visant à démanteler XCPE, un vaste réseau d’appareils infectés, aussi appelé botnet. Sa particularité : contrairement aux attaques habituelles, les logiciels malveillants étaient intégrés directement à certains appareils avant même leur achat par les consommateurs.

Selon les chercheurs du Google Threat Intelligence Group, l’entreprise chinoise Videostrong Technology aurait volontairement intégré une porte dérobée dans les logiciels de plusieurs modèles de boîtiers de diffusion télévisuelle. Google affirme disposer d’un niveau élevé de confiance dans cette attribution et estime que l’opération était organisée à des fins lucratives.

Le fonctionnement était particulièrement sournois. Une fois le boîtier branché et connecté à Internet, le logiciel malveillant pouvait communiquer avec des serveurs contrôlés à distance et installer d’autres programmes sans l’autorisation du propriétaire. Certains servaient à générer de fausses interactions publicitaires, tandis que d’autres transformaient la connexion Internet du domicile en service de relais commercialisé auprès de tiers.

Concrètement, des inconnus pouvaient ainsi faire transiter leurs activités Internet par l’adresse IP résidentielle d’un particulier. Pour les sites visités, le trafic semblait provenir de la connexion du propriétaire du boîtier, alors qu’il était généré par quelqu’un d’autre. Cette technique, appelée proxy résidentiel, peut notamment permettre de masquer l’origine réelle de certaines activités frauduleuses.

L’enquête révèle également que les appareils compromis pouvaient être utilisés pour recueillir des informations, installer d’autres logiciels malveillants ou exécuter des commandes à distance. Le problème dépassait donc largement la simple fraude publicitaire.

Google affirme que l’opération coordonnée pourrait également couper l’accès des réseaux criminels à au moins 10 millions d’autres appareils compromis par des logiciels associés. Ces appareils ne font pas tous partie du réseau XCPE. Les chercheurs ont notamment repéré des infections touchant des équipements de télésanté, des systèmes de karaoké et des dispositifs d’affichage numérique.

Pour freiner ces activités, Google a entrepris des démarches judiciaires afin de neutraliser les domaines Internet et les serveurs utilisés pour contrôler les appareils infectés. L’entreprise a également rompu ses relations avec Videostrong et lui interdit désormais, ainsi qu’à ses futures filiales, de fabriquer des appareils Android certifiés ou de fournir des logiciels aux fabricants certifiés.

L’affaire soulève une question particulièrement préoccupante pour les consommateurs. Comment des appareils contenant un logiciel malveillant ont-ils pu passer les contrôles de sécurité de Google ? Selon l’entreprise, le fabricant aurait utilisé des techniques de dissimulation permettant au code malveillant de s’activer après le premier démarrage de l’appareil. Google affirme avoir modifié ses procédures de vérification pour mieux détecter ce type de manipulation.

L’enquête du journaliste spécialisé en cybersécurité Brian Krebs révèle également que des chercheurs de Synthient ont trouvé le logiciel malveillant dans un modèle de boîtier commercialisé sous la marque MECOOL. Cette découverte illustre la complexité du problème, puisque les composants et les logiciels d’un même fabricant peuvent se retrouver dans des appareils vendus sous différentes marques. Il serait toutefois incorrect d’en conclure que tous les produits MECOOL, ou l’ensemble des boîtiers Android TV, sont compromis.

Pour les consommateurs, quelques précautions s’imposent. Google recommande de privilégier les fabricants reconnus, de vérifier la provenance des applications installées et de maintenir les protections comme Google Play Protect lorsqu’elles sont disponibles. Il faut également se méfier des applications qui proposent de rémunérer les utilisateurs en échange du partage de leur bande passante Internet.

Si un boîtier figure parmi les modèles compromis, la précaution la plus sûre consiste à le débrancher du réseau en attendant de disposer d’un micrologiciel sain et vérifié, ou à le remplacer. Une simple réinitialisation aux paramètres d’usine ne garantit pas l’élimination d’un logiciel malveillant intégré au système.

Enfin, il importe de distinguer le démantèlement d’un réseau criminel du nettoyage des appareils touchés. Google a perturbé l’infrastructure qui permettait aux opérateurs de communiquer avec les boîtiers infectés, mais cela ne signifie pas que le logiciel malveillant a disparu de chacun des appareils concernés.

Cette affaire rappelle qu’un appareil connecté à Internet, même lorsqu’il ne sert qu’à regarder la télévision, demeure un véritable ordinateur. Et lorsque sa sécurité est compromise dès sa fabrication, son propriétaire peut devenir, sans le savoir, un maillon d’un réseau mondial de cybercriminalité.

Sources : Google, Krebs on security, Bleeping computer

+++++++

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur
l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.