Votre boîtier Android TV pourrait diffuser des contenus de divertissement pendant que des criminels utilisent votre connexion Internet pour dissimuler leurs activités.
Google a démantelé le botnet XCPE, qui aurait impliqué plus de 1,3 million d’appareils Android compromis. Selon l’entreprise, le fabricant Videostrong Technology aurait intégré une porte dérobée au micrologiciel des appareils, permettant à des opérateurs criminels d’acheminer du trafic malveillant via les adresses IP résidentielles d’utilisateurs qui n’en avaient pas connaissance.
Outre l’utilisation de la bande passante inutilisée des téléviseurs pour dissimuler des activités criminelles, Google indique que les opérateurs se livraient également à la fraude publicitaire et à la diffusion de logiciels malveillants supplémentaires.
La découverte et le démantèlement qui a suivi mettent en lumière un problème croissant de cybersécurité : les utilisateurs n’ont rien à faire pour devenir les victimes d’une opération malveillante si les attaquants peuvent contourner le consentement et s’adresser directement à la source.
Un fabricant d’équipement d’origine, plus d’un million d’appareils vulnérables
Google, l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI ont contribué au démantèlement de l’opération fin octobre.
Selon les conclusions de Google, le botnet reposait sur une porte dérobée connue sous le nom de x.cpe, intégrée au micrologiciel des appareils Android. Ce composant malveillant permettait aux opérateurs d’utiliser les appareils compromis pour des activités telles que des services de proxy résidentiel, la fraude publicitaire et la diffusion de logiciels malveillants.
Le fabricant vendait ensuite l’accès à des partenaires criminels, qui l’utilisaient pour diffuser des logiciels malveillants, se livrer à la fraude publicitaire et fournir des services de proxy résidentiel. Plus d’une douzaine de familles de logiciels malveillants auraient été diffusées via cette porte dérobée.
L’opération a également révélé une faille dans le processus de certification des appareils Android de Google. Videostrong dissimulait le script de la porte dérobée malveillante lors des contrôles de sécurité, ce qui lui permettait de s’activer après le premier redémarrage de l’appareil et lors des redémarrages suivants, puisqu’il était intégré au niveau du micrologiciel.
Google a depuis mis fin à sa relation avec le fabricant et ses filiales, et a engagé des poursuites judiciaires pour perturber les serveurs hébergeant le botnet et ses logiciels malveillants. Le démantèlement devrait également couper les opérateurs criminels d’au moins 10 millions d’autres appareils compromis associés à une infrastructure de logiciels malveillants affiliés.
Quand les recommandations de cybersécurité peuvent ne pas suffire
Les recommandations conventionnelles en matière de cybersécurité peuvent offrir une protection limitée lorsque la compromission a lieu avant que l’appareil n’atteigne son propriétaire. Dans le cas d’XCPE, les consommateurs pouvaient maintenir leurs boîtiers Android TV à jour et suivre les autres bonnes pratiques de sécurité, tout en ayant une porte dérobée intégrée au micrologiciel de leurs appareils.
Contrairement aux applications malveillantes ordinaires que les utilisateurs peuvent désinstaller, les logiciels malveillants intégrés au niveau du micrologiciel peuvent s’exécuter avec des privilèges système élevés et persister même après plusieurs tentatives de suppression.
Les consommateurs disposent donc d’un contrôle limité sur une compromission introduite au stade de la fabrication. La suppression de l’infection peut nécessiter un micrologiciel propre et fiable fourni par le fabricant, s’il est disponible. Mais quelles sont les chances d’obtenir une installation propre de ce type lorsque le fabricant, comme dans ce cas, est soupçonné d’être lui-même à l’origine de la diffusion du logiciel malveillant ?
La perturbation par Google de l’infrastructure de contrôle du botnet peut empêcher les appareils concernés de communiquer avec des serveurs malveillants connus, mais elle ne supprime pas nécessairement la porte dérobée des appareils déjà vendus. Cette distinction est importante, car un micrologiciel compromis peut rester un risque de sécurité même après le démantèlement de l’opération initiale.
Pour les consommateurs et les entreprises, cet incident soulève une question difficile : comment sécuriser le matériel lorsque le logiciel qui le compromet fait déjà partie du produit ?
Pourquoi les entreprises et les particuliers devraient s’en préoccuper
L’incident XCPE montre pourquoi l’achat de matériel connecté devrait aller au-delà de la comparaison des prix et des caractéristiques techniques. Les consommateurs devraient privilégier les fabricants dont les antécédents en matière de sécurité sont vérifiables, qui proposent des mises à jour régulières du micrologiciel et prennent clairement en charge leurs produits.
Les propriétaires de boîtiers Android TV devraient vérifier si le modèle de leur appareil a été identifié comme étant concerné. Les utilisateurs devraient consulter les informations disponibles auprès du fabricant et les avis de sécurité de sources fiables, plutôt que de supposer que tous les appareils d’un fournisseur donné sont compromis.
Pour les entreprises, les incidents de ce type sont plus lourds de conséquences, compte tenu de la valeur qu’ils peuvent avoir pour les attaquants. Elles doivent donc faire preuve d’une plus grande vigilance lors de l’achat de téléviseurs pour les salles de conférence et d’autres équipements.
Le problème ne se limite pas non plus aux boîtiers de télévision. Les routeurs, les caméras de sécurité, les appareils électroménagers intelligents et autres produits connectés peuvent également introduire des risques lorsque les fabricants livrent des logiciels compromis ou cessent d’assurer la maintenance de leurs appareils.
Au fond, cet incident est un problème de sécurité et de confiance dans la chaîne d’approvisionnement. Les consommateurs comptent sur les fabricants pour fournir du matériel sûr, mais cette confiance peut devenir un handicap lorsque le fournisseur est lui-même à l’origine de la compromission.
L’opération XCPE montre que la sécurité de la chaîne d’approvisionnement dépend de bien plus que de la manière dont les utilisateurs configurent leurs appareils. Lorsque des logiciels malveillants sont introduits lors de la fabrication, même les consommateurs et les entreprises soucieux de la sécurité peuvent disposer de moyens limités pour les détecter ou les supprimer.
Le guide de la sécurité des réseaux sans fil d’eSecurityPlanet explique comment le chiffrement WPA3, les mises à jour régulières du micrologiciel et la segmentation du réseau peuvent contribuer à protéger les réseaux Wi-Fi domestiques et professionnels contre les accès non autorisés, les logiciels malveillants et autres cybermenaces.