Google a démantelé fin octobre 2026 un botnet de plus de 1,3 million d’appareils Android, surtout des boîtiers TV, dont le micrologiciel contenait une porte dérobée attribuée par Google au fabricant Videostrong. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : ce qui est documenté, notre lecture MITRE ATT&CK, la détection, les questions d’audit ISO 27001 et des pistes de sensibilisation. Le nombre d’appareils en France n’est pas publié et l’efficacité d’une réinitialisation d’usine n’est pas établie.
Pour une lecture orientée dirigeant, voir notre décryptage « Boîtiers TV Android : une porte dérobée posée en usine sur plus d’un million d’appareils ».
Contexte
- Sources : Google Threat Intelligence, 2 novembre 2026 (rapport principal, que nous avons lu en partie) ; The Hacker News, 2 novembre 2026, qui reprend aussi les analyses de TrendAI, Synthient et Plume.
- Appareils concernés : surtout des boîtiers TV Android, mais aussi des écrans d’affichage dynamique, des appareils de téléconsultation et des machines de karaoké ; appareils certifiés Android TV comme appareils sous Android Open Source Project selon Plume. Synthient a publié une liste de 182 noms de modèles, en précisant qu’un nom de modèle ne prouve pas l’infection ; la marque MECOOL est la plus citée.
- Opérateur désigné : le fabricant Videostrong (Shenzhen), selon Google (« très confiant ») et Synthient. Google écarte l’hypothèse d’un employé malveillant isolé ou d’une erreur de développement.
- Ampleur : plus de 1,3 million d’appareils selon Google ; 1 472 554 appareils sur 206 modèles entre le 3 juin et le 1er octobre 2026 selon TrendAI ; principaux pays : Malaisie, Brésil, Irak, Mexique, Taïwan ; environ 26 000 à 42 000 appareils chacun aux États-Unis, en Allemagne, au Royaume-Uni, en Australie et au Canada.
- Chronologie : architecture en plusieurs étapes en place depuis au moins fin 2024 selon Google ; démantèlement fin octobre 2026 ; publication le 2 novembre.
- Réponse : action en justice de Google contre les domaines et serveurs de commande, avec la police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI ; coupure des serveurs de plus d’une dizaine de familles de logiciels malveillants chargées par la porte dérobée (ce qui toucherait au moins 10 millions d’autres appareils selon Google) ; Videostrong banni du programme Android certifié ; renforcement par Google du contrôle du micrologiciel des appareils certifiés.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Porte dérobée intégrée au micrologiciel par le fabricant, sous forme d’application système signée avec sa clé ; code masqué pour passer les tests de certification et activé après le premier démarrage | T1195.003 Compromise Hardware Supply Chain |
| Persistance | Partie intégrante du micrologiciel : se réinstalle au redémarrage, la suppression ne tient pas | Pas de correspondance exacte : persistance native, conséquence directe de T1195.003 |
| Contournement des défenses | Effacement du consentement de l’utilisateur et désactivation de la vérification des applications (Google Play Protect) avant toute installation | T1562.001 Impair Defenses: Disable or Modify Tools |
| Commande et contrôle | Dialogue avec les serveurs de commande, résultats renvoyés via un protocole de messagerie pour objets connectés (MQTT) selon Google | T1071 Application Layer Protocol |
| Chargement de modules | Téléchargement et exécution silencieuse de modules, d’abord via un chargeur intermédiaire doté de protections contre l’analyse, puis via des programmes de dépôt plus ciblés | T1105 Ingress Tool Transfer |
| Exécution | Commandes à distance avec les droits système ; shells inversés observés par Google | T1059.004 Unix Shell |
| Découverte et collecte | Cartographie du réseau local ; captures d’écran en direct, envoi de frappes, copie d’informations de comptes, de l’appareil, de la liste des applications et des journaux | T1046 Network Service Discovery ; T1113 Screen Capture ; T1005 Data from Local System |
| Monétisation | Revente de la bande passante comme proxy résidentiel (jusqu’à trois kits de proxy sur un même appareil) ; fraude publicitaire par fenêtres invisibles qui simulent des interactions | T1496 Resource Hijacking ; T1090 Proxy (pour les clients de ces proxys) |
Faits techniques connus
- Architecture modulaire en trois étapes selon Google : un composant de communication avec les serveurs de commande, un chargeur qui exécute les modules (récemment remplacé par des programmes de dépôt plus ciblés), puis les modules de monétisation.
- La porte dérobée transmet aussi des réglages à d’autres applications du fabricant, ce qui a contribué à l’attribution selon Google.
- Les modules étaient en partie hébergés sur une plateforme publique de partage de code, sous un compte dont le nom renvoie au fabricant selon The Hacker News.
Ce qu’on ne sait pas
- Le nombre d’appareils en France et la part d’appareils certifiés parmi les appareils touchés (Google ne le précise pas).
- Si une réinitialisation d’usine supprime la porte dérobée : Plume la recommande pour retirer les modules ajoutés, sans dire si elle suffit ; TrendAI parle d’une intervention du fabricant, d’une protection de la plateforme ou d’un remplacement de l’appareil ; Synthient conseille de jeter les boîtiers.
- La réaction de Videostrong (aucune déclaration publique trouvée à ce stade).
Détection : invisible pour le propriétaire, visible sur le réseau
- Côté propriétaire : rien à voir. L’appareil fonctionne normalement, le code fait partie du système livré et la vérification des applications est désactivée.
- Côté chercheurs : la campagne a été mise au jour par l’analyse de Google, la télémétrie de TrendAI, les données réseau de Plume (logiciel Wi-Fi utilisé par des fournisseurs d’accès, qui a vu plus d’une douzaine de types d’appareils joindre le serveur de commande) et l’achat d’un boîtier par Synthient, qui y a trouvé la porte dérobée préinstallée.
- Côté organisation : appareil absent de l’inventaire ; trafic sortant important et continu depuis un boîtier TV ou un écran, y compris la nuit ; résolutions DNS vers des domaines inconnus ou des services de proxy ; adresse IP de l’entreprise signalée par des services tiers comme proxy ou source de fraude. Google et Synthient publient des indicateurs pour une recherche ciblée ; nous ne les reproduisons pas.
Questions d’audit ISO 27001:2022
- A.5.9 (inventaire des informations et autres actifs associés) et A.8.1 (terminaux utilisateurs) : « L’inventaire couvre-t-il les appareils non informatiques branchés sur le réseau (écrans d’affichage, boîtiers TV, caméras, objets connectés) ? Montrez-moi comment vous détectez un appareil qui n’y figure pas. »
- A.5.19, A.5.20 et A.5.21 (sécurité de l’information dans les relations avec les fournisseurs ; dans les accords ; dans la chaîne d’approvisionnement TIC) : « Quels critères de sécurité appliquez-vous à l’achat d’un matériel connecté (fabricant identifié, certification, durée de support et de mises à jour) ? Qui valide l’achat d’un appareil qui sera branché sur le réseau ? »
- A.8.20 et A.8.22 (sécurité des réseaux ; cloisonnement des réseaux) : « Les objets connectés sont-ils sur un réseau séparé, sans accès aux postes et aux serveurs ? Montrez-moi la règle de filtrage et la dernière vérification de son efficacité. »
- A.8.16 (activités de surveillance) et A.6.7 (travail à distance) : « Surveillez-vous le trafic sortant inhabituel (volume, horaires, destinations) ? Pour les salariés en télétravail, quelle règle sépare les appareils professionnels des appareils domestiques non gérés ? »
Pistes de sensibilisation
- Pour tous les salariés : « Ce qui est branché chez nous » (10 minutes). Faire lister par chaque équipe les appareils branchés au réseau qui ne sont pas des ordinateurs (télévision, écran, imprimante, caméra, enceinte). Conclure sur trois règles : rien ne se branche sur le réseau sans validation, les objets connectés vont sur le réseau invité, on achète chez des fabricants qui publient des mises à jour. Support : la fiche de Cybermalveillance.gouv.fr « La sécurité des objets connectés (IoT) ».
- Pour le référent informatique ou le prestataire : exercice « Trouver l’intrus ». Comparer la liste des appareils vus par la box ou le pare-feu avec l’inventaire ; pour chaque appareil inconnu, identifier son propriétaire, son usage et son réseau. Support pour la séparation des réseaux : la fiche « Comment sécuriser son réseau Wi-Fi ? ».
À lire aussi : notre décryptage « Boîtiers TV Android : une porte dérobée posée en usine sur plus d’un million d’appareils » et notre bulletin de veille du 3 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.