Selon Google, le fabricant de boîtiers TV a lui-même installé la porte dérobée et en a vendu l'accès à des criminels
Cette fois, personne n'a été piégé pour l'installer. Le logiciel malveillant était déjà sur le boîtier à sa sortie d'usine. Google a annoncé le 2 novembre avoir coupé XCPE, une porte dérobée présente dans plus de 1,3 million de boîtiers de streaming Android TV, et a désigné le coupable avec une franchise inhabituelle : Videostrong Technology, un fabricant de Shenzhen qui, selon Google, a « intentionnellement développé, déployé et exploité » le logiciel malveillant pour de l'argent.
La porte dérobée fonctionne sous la forme d'applications système nommées x.cpe et com.oemservice, avec tous les privilèges système. Ses opérateurs pouvaient installer des applications en silence, désactiver Google Play Protect, faire des captures d'écran, saisir du texte à la place de l'utilisateur et ouvrir un shell à distance. Mais surtout, ils la louaient. Des affiliés payants utilisaient les boîtiers pour de la fraude publicitaire et comme proxys résidentiels, ce qui signifie que le trafic internet d'inconnus sortait par votre connexion domestique, sous votre adresse IP. Les chercheurs de Synthient l'ont trouvée préinstallée sur un MECOOL KM9PRO Max acheté fin 2025 et ont publié une liste de 182 noms de modèles. TrendAI a recensé 1 472 554 appareils infectés répartis sur 206 modèles entre juin et octobre, dont environ 26 000 à 42 000 dans chacun de ces pays : États-Unis, Allemagne, Royaume-Uni, Australie et Canada.
Google a révoqué la licence qui permettait à Videostrong de commercialiser des appareils Android certifiés, et l'opération a également coupé au moins 10 millions d'autres appareils infectés par des logiciels malveillants apparentés. Cela met fin à l'opération en cours. Cela ne nettoie pas votre boîtier. La porte dérobée se loge dans une partie protégée du firmware et se réinstalle si vous la supprimez. Si vous possédez un boîtier MECOOL ou un autre lecteur de streaming sans marque, comparez-le à la liste de Synthient. Le déconnecter d'internet met fin aux abus, et Synthient conseille carrément de le jeter. Figurer sur cette liste ne prouve pas qu'un appareil est infecté, mais un tel boîtier coûte moins cher que les ennuis qu'il peut causer.
Le scan réseau de Tendvane répertorie tous les appareils de votre réseau domestique, ce qui est le moyen le plus rapide de retrouver le boîtier de streaming oublié derrière la télévision.