Google a perturbé un botnet Android de plus de 1,3 million d'appareils, surtout des box TV, et accuse le fabricant Videostrong.

Un botnet Android de plus de 1,3 million d’appareils vient de perdre le contrôle de ses serveurs. L’opération, menée sous la direction de Google, a eu lieu fin octobre. Les machines concernées sont en majorité des boîtiers TV, ces petits décodeurs branchés sur le téléviseur du salon.

L’affaire dépasse la simple infection de masse. En effet, Google affirme être très confiant sur un point précis : le fabricant Videostrong aurait volontairement installé une porte dérobée dans ses boîtiers. Il aurait ensuite vendu cet accès à des criminels.

Ce que l’on sait de ce botnet Android

Les faits établis tiennent en quelques lignes. Le réseau comptait plus de 1,3 million d’appareils sous Android. La grande majorité étaient des set-top boxes, c’est-à-dire des boîtiers multimédias destinés au grand public.

La perturbation a eu lieu fin octobre. Elle a coupé l’accès des opérateurs du botnet à leurs serveurs de contrôle. Autrement dit, les appareils infectés ne pouvaient plus recevoir d’instructions de leurs exploitants.

Google a piloté cette action. Par ailleurs, l’entreprise désigne Videostrong comme l’origine de la compromission. Selon elle, la porte dérobée n’est pas le fruit d’un piratage extérieur. Elle aurait été intégrée sciemment dans les boîtiers.

Les informations disponibles ne détaillent pas tous les aspects de l’opération. Ainsi, la réponse de Videostrong n’est pas précisée à ce stade. Il convient donc de rester prudent sur la suite des événements.

Une porte dérobée vendue à des criminels

Le point le plus grave concerne la chaîne d’approvisionnement. Habituellement, un botnet se construit après coup. Les pirates exploitent une faille ou piègent une application. Ici, la menace serait présente dès la fabrication.

Selon Google, Videostrong a vendu l’accès aux boîtiers à des criminels. Le fabricant aurait donc joué le rôle d’intermédiaire. Les acheteurs n’avaient pas besoin de compromettre eux-mêmes chaque appareil.

Cette configuration pose un problème majeur pour les utilisateurs. En effet, ils n’ont rien fait de risqué. Ils ont simplement acheté un décodeur et l’ont branché chez eux. Pourtant, leur appareil travaillait en secret pour d’autres.

De plus, ce type de porte dérobée est difficile à repérer. Elle fait partie du produit livré. Un antivirus ou une mise à jour classique ne la traite pas toujours.

Fraude publicitaire et trafic des autres

Les criminels exploitaient ces boîtiers de deux façons. D’abord, pour la fraude publicitaire. Ensuite, pour faire transiter le trafic internet de tiers par les connexions domestiques des propriétaires.

La fraude publicitaire consiste à générer de fausses vues ou de faux clics. Les annonceurs paient alors pour une audience qui n’existe pas. Des appareils réels, répartis chez des particuliers, rendent cette fraude plus crédible.

Le second usage s’apparente à un service de proxy résidentiel. Le trafic d’autres personnes passe par la box et semble provenir d’un foyer ordinaire. Par conséquent, l’adresse IP du propriétaire peut être associée à des activités qu’il ignore.

Ce détournement comporte plusieurs risques :

• une bande passante consommée sans l’accord du propriétaire ;
• une adresse IP domestique potentiellement liée à des activités illicites ;
• une exposition accrue du réseau local, puisque l’appareil est déjà piégé.

Les informations disponibles ne précisent pas d’autres usages éventuels du botnet. Il serait donc prématuré d’en conclure davantage.

Ce qu’il faut retenir

Cette affaire rappelle qu’un appareil connecté peut être compromis avant même d’arriver chez vous. Toutefois, quelques réflexes limitent l’exposition.

• Privilégier les marques connues et les boîtiers certifiés, plutôt que des modèles anonymes à très bas prix.
• Isoler les objets connectés sur un réseau séparé, par exemple le réseau invité de votre routeur.
• Surveiller le trafic du réseau domestique. Une activité inhabituelle, même quand personne ne regarde la télévision, doit alerter.
• Vérifier les mises à jour proposées par le fabricant, tout en sachant qu’elles ne corrigent pas une porte dérobée voulue.
• Remplacer l’appareil si un doute sérieux existe sur son origine ou son comportement.

Enfin, cette opération montre l’intérêt des actions coordonnées contre les infrastructures de contrôle. Couper les serveurs prive les opérateurs de leur levier. En revanche, les boîtiers restent physiquement chez leurs propriétaires. La vigilance des utilisateurs demeure donc indispensable.

Source : Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access