Google a annoncé début novembre 2026 avoir démantelé x.cpe, une porte dérobée installée dès l’usine sur des boîtiers Android TV. L’enquête vise Videostrong, fabricant chinois à l’origine de la marque Mecool, accusé d’avoir intentionnellement déployé ce logiciel malveillant et monétisé l’accès auprès de groupes criminels.
Le code s’activait au premier allumage, désactivait Play Protect et se réinstallait même après suppression. La France n’apparaît pas sur la carte de détection diffusée par Google, mais ces boîtiers sont vendus chez nous. Voici comment savoir si votre appareil est concerné, réduire l’exposition tout de suite et opter pour un remplacement sûr si besoin.
L’essentiel
- Infection d’usine : La backdoor x.cpe était intégrée au système et s’activait au premier démarrage, ce qui rend difficile toute suppression durable par des moyens classiques.
- Réinitialisation limitée : Le maliciel désactivait Play Protect et se réinstallait au redémarrage, ce qui réduit fortement l’efficacité d’un simple formatage ou d’une réinitialisation.
- Risque résiduel : Le botnet est désactivé, mais la porte dérobée peut subsister dans l’appareil. L’usage hors ligne ou l’arrêt complet restent les options les plus prudentes.
- Remplacement conseillé : Un remplacement est privilégié, avec des options connues comme Google Streamer, Nvidia Shield TV, Apple TV, Amazon Fire TV Stick ou Xiaomi TV Box.
Comment savoir si votre boîtier est concerné
Google attribue la backdoor x.cpe à Videostrong, maison mère de Mecool, et indique qu’elle a été intégrée à de nombreux modèles et marques sur plusieurs années. Des chercheurs mentionnent 182 à 206 modèles identifiés sur la période récente. Plusieurs petites marques sont citées parmi les plus touchées, dont Mecool, Dreamstar, Cruze TV, Switron et Showbox.
Certains boîtiers conçus par Videostrong ont été certifiés Android TV, le fabricant ayant contourné les contrôles en chargeant du code malveillant après le premier démarrage. La carte de Google ne met pas en avant la France, mais ces appareils sont disponibles à la vente dans l’Hexagone.
Pourquoi une réinitialisation ne suffit probablement pas et comment limiter le risque
Le logiciel malveillant disposait de privilèges élevés et se déclenchait au premier allumage. Il désactivait Play Protect, puis permettait l’installation discrète d’applications, l’exécution de commandes et la collecte d’identifiants. Même supprimé, il se réinstallait au redémarrage, ce qui rend une simple réinitialisation peu efficace.
Google précise que Videostrong a utilisé des techniques d’obfuscation pour exploiter une faille de tests et charger du code après le premier boot. La firme parle d’un abus de confiance inacceptable et a coupé tout lien avec Videostrong.
Le botnet démantelé ne reçoit plus d’ordres, mais la porte dérobée peut rester présente sur les boîtiers affectés. Des recommandations publiques vont dans le sens de ne plus utiliser l’appareil ou de l’utiliser hors connexion si l’on ne peut pas le remplacer immédiatement.
L’opération de démantèlement s’appuie sur une collaboration internationale et industrielle. Gavin Reid, responsable de la sécurité chez HUMAN Security, souligne que couper l’infrastructure renchérit les coûts d’exploitation des réseaux criminels.
Remplacer par une option fiable
Google a cessé de collaborer avec Videostrong et a revu son processus de vérification des appareils. En pratique, le plus simple reste de remplacer un boîtier suspect. Des alternatives éprouvées existent : Google Streamer, Nvidia Shield TV, Apple TV, Amazon Fire TV Stick ou Xiaomi TV Box.
Où les infections ont été observées
Le botnet a enrôlé plus de 1,3 million d’appareils, avec des zones particulièrement touchées comme la Malaisie, le Brésil, l’Irak, le Mexique et Taïwan. Des estimations récentes évoquent près de 1,5 million d’appareils compromis sur 206 modèles entre juin et octobre.
La France n’apparaît pas sur la carte publiée par Google, mais ces produits étant disponibles chez nous, il peut être prudent de prendre des mesures.
