Démantèlement d'un botnet mondial
La société Google a annoncé son succès, en collaboration avec des partenaires internationaux, dans le démantèlement du botnet connu sous le nom de XCPE, qui a ciblé plus de 1,3 million de téléviseurs intelligents fonctionnant sous le système Android. Les enquêtes indiquent que les logiciels malveillants ne résultaient pas d'une intrusion externe, mais ont été installés délibérément dans le micrologiciel (Firmware) par le fabricant chinois Videostrong Technology Co.
Mécanisme de fonctionnement du logiciel malveillant
Le logiciel malveillant XCPE fonctionne comme une porte dérobée (Backdoor) disposant de privilèges système Android complets, ce nom confère aux attaquants la capacité de contrôler entièrement les appareils infectés. Grâce à ce réseau, les attaquants ont pu mener diverses activités criminelles, notamment :
- Fraude publicitaire : chargement de pages Web cachées et clic sur des publicités à l'insu de l'utilisateur.
- Proxies résidentiels (Residential Proxies) : routage du trafic Internet d'un tiers via les appareils infectés.
- Installation de logiciels supplémentaires : téléchargement et installation d'autres logiciels malveillants, et désactivation des outils de protection tels que Google Play Protect.
- Espionnage : capture d'écran, enregistrement des frappes au clavier et collecte de données de comptes et de journaux système.
Mesures punitives de Google
En réponse à ces graves violations, Google a pris des mesures fermes, notamment la résiliation de sa relation commerciale avec la société Videostrong, le retrait de sa licence pour la fabrication d'appareils Android et son interdiction de fournir des logiciels pour les appareils certifiés à l'avenir. Google a également modifié ses processus d'examen de certification pour empêcher l'utilisation de techniques d'obfuscation que l'entreprise utilisait pour contourner les tests de sécurité.
Qu'est-ce que cela signifie pour les utilisateurs ?
La dangerosité de ce type de logiciel réside dans le fait qu'il est intégré au niveau du système (partition OEM), ce qui signifie qu'il n'est pas supprimé par une réinitialisation d'usine classique. Si votre appareil est infecté, la seule solution est d'installer une version propre du micrologiciel (Firmware) ou d'isoler l'appareil d'Internet pour empêcher son exploitation dans des activités criminelles. Cet incident souligne l'importance de choisir des appareils auprès de fabricants de confiance, car les menaces provenant de la chaîne d'approvisionnement (Supply Chain Attacks) sont difficiles à détecter par l'utilisateur moyen.