Il y a des matins où j’ouvre ma boîte mail et je me dis que l’informatique grand public est un sport de combat. La semaine dernière, un client m’appelle, paniqué, parce que sa box Android TV achetée trois ans plus tôt « faisait des trucs bizarres ». Elle envoyait du trafic vers des IP inconnues en pleine nuit, évidemment, quand monsieur dort. Autant dire que je n’ai pas été surpris une seconde quand je suis tombé sur l’affaire du botnet XCPE. Je répare des machines pourries depuis quinze ans, et à chaque fois c’est le même scénario : on te vend du matériel pas cher, on y planque une saloperie, et quand le scandale éclate, ce sont les utilisateurs qui raquent.
Cette fois, l’histoire dépasse quand même le stade du petit bricolage. On parle de plus d’1,3 million d’appareils Android infectés, un fabricant banni par Google, et surtout une backdoor qui reste bien au chaud dans les box déjà vendues. Voilà le vrai problème. Le botnet XCPE, tout le monde s’en fiche qu’on ait coupé ses serveurs de commande. Le mal est déjà dans le firmware, chez vous, dans votre salon, et personne ne viendra le retirer à votre place.
Botnet XCPE : ce que Google a vraiment coupé (et ce qu’il n’a pas coupé)
Reprenons les faits, parce qu’il faut être précis quand on parle de ce genre de merde. Google et ses partenaires ont démantelé l’infrastructure du botnet XCPE, comprenez les serveurs de contrôle qui pilotaient les machines infectées. Ils ont aussi banni Videostrong, le fabricant de box Android TV qui avait intégré l’implant directement dans son firmware. Sur le papier, c’est une belle opération de nettoyage. Dans la vraie vie, c’est une opération de communication.
Pourquoi ? Parce qu’une backdoor, ce n’est pas un virus qui disparaît quand on débranche le serveur. C’est une porte dérobée installée dans le code de l’appareil. Couper le serveur, c’est juste empêcher le cambrioleur de téléphoner à son complice. La porte, elle, est toujours là, entrouverte, et n’importe qui d’autre peut venir la pousser.
J’ai vu ce schéma des dizaines de fois en atelier. Un fabricant low-cost, un firmware assemblé à la va-vite, une fonctionnalité de « mise à jour à distance » qui ressemble furieusement à un outil de prise de contrôle, et hop, on expédie. Mine de rien, le business model de ces box repose entièrement sur le volume, donc sur le coût de fabrication le plus bas possible. La sécurité, dans ce calcul, c’est une ligne de dépense qu’on supprime en premier.
Et c’est là que je ne suis pas d’accord avec les experts qui se frottent les mains en disant « c’est réglé ». Non, ce n’est pas réglé. C’est le début du problème. Le botnet XCPE n’est plus pilotable par ses créateurs d’origine, mais l’implant qui le composait, lui, n’a pas bougé d’un poil. Du coup, les box concernées restent des cibles ouvertes.
Reset d’usine contre poubelle : le grand n’importe quoi des partenaires
Le détail qui me fait le plus bondir, c’est la divergence totale entre les partenaires sur la marche à suivre. Plume, de son côté, recommande un simple reset d’usine des appareils concernés. Synthient, lui, ne prend pas de gants : direction la poubelle, l’appareil est bon à jeter. Deux partenaires, deux sons de cloche, et au milieu, l’utilisateur qui ne sait pas quoi faire.
Alors, qui a raison ? Pour être honnête, je penche très fortement du côté de Synthient. Un reset d’usine, dans 90 % des cas que j’ai traités, ça restaure les paramètres d’origine. Et le firmware d’origine, c’est précisément celui qui contient la backdoor. Autant dire que tu réinstalles proprement le problème. C’est comme repeindre une maison qui a un nid de guêpes dans le grenier.
Je ne suis pas certain à 100 % que le reset soit inutile sur tous les modèles, parce que la procédure exacte dépend du firmware installé et que je n’ai pas eu ces box entre les mains. Mais d’après mon expérience en atelier, quand la compromission est au niveau du firmware, la seule parade fiable c’est un flash complet avec une image propre et signée. Et ce flash, le fabricant ne le fournira pas. Videostrong est banni, il n’a plus aucun intérêt à travailler sur des correctifs.
- Reset d’usine selon Plume : rapide, rassurant, mais remet en place le firmware compromis.
- Mise au rebut selon Synthient : brutal, écologiquement discutable, mais honnête.
- Mon conseil de technicien : si l’appareil est concerné, il ne doit plus être sur le réseau, point barre.
Voilà le genre de dilemme qui me fait sortir de mes gonds. On demande à monsieur Tout-le-Monde de trancher entre deux recommandations contradictoires, alors que la seule réponse valable aurait dû venir du fabricant. Sauf que le fabricant est parti en courant. Histoire de bien enfoncer le clou, personne ne proposera de remboursement.
Vos box Android TV sont des ordinateurs, pas des télévisions
Le vrai cœur du problème, et ça fait quinze ans que je le répète à mes clients : une box Android TV, un routeur, une caméra connectée, c’est un ordinateur. Avec un processeur, de la mémoire, un système d’exploitation, et des failles. Sauf que personne ne le voit comme ça. On l’achète comme on achète une télécommande, on la branche, on l’oublie, et on ne la met jamais à jour. J’ai encore un client qui m’a sorti la semaine dernière : « Mais c’est juste une télé, pourquoi elle aurait besoin d’un antivirus ? »
Parce que cette télé, elle parle à Internet, elle télécharge des applications, elle exécute du code. Et quand un fabricant peu scrupuleux y glisse un implant, elle devient une machine zombie à la disposition du premier venu. Le botnet XCPE n’est qu’un symptôme d’une maladie beaucoup plus large. Du coup, la vraie question n’est pas « comment nettoyer ma box », c’est « pourquoi j’ai acheté une box dont je ne contrôle ni le firmware ni les mises à jour ».
Je vais être tranchant, et certains vont me détester : à partir d’un certain prix, une box Android TV low-cost n’est pas une bonne affaire, c’est une dette de sécurité. Le constructeur se rémunère ailleurs, parfois en monétisant l’accès à votre réseau. Ça n’a rien d’un fantasme, c’est un modèle économique documenté depuis des années. Mine de rien, le jour où votre box participe à une attaque par déni de service, on viendra frapper à votre porte, pas à celle de Videostrong.
Ce que je fais concrètement face au botnet XCPE
Concrètement, quand un client m’annonce qu’il possède une box Videostrong ou un modèle du même acabit, voici ce que je fais. D’abord, je l’isole immédiatement du réseau, en coupant le Wi-Fi ou en la débranchant. Ensuite, je vérifie le trafic sortant depuis le routeur, histoire de voir si la machine communique avec des IP louches. Et enfin, je pose la seule question qui compte : est-ce que vous tenez plus à cette box qu’à la tranquillité de votre réseau ?
Dans neuf cas sur dix, la réponse est non, et on remplace. Parce que le temps passé à tenter de désinfecter un firmware propriétaire dépasse largement le prix d’une box neuve. Et parce qu’une machine qui a hébergé une backdoor reste suspecte à vie, à mes yeux. Je préfère être paranoïaque que de revoir le même client deux mois plus tard avec un problème encore plus grave.
Pour les autres, ceux qui veulent absolument garder l’appareil, je propose un compromis dégueulasse mais réaliste : la box reste sur un réseau isolé, sans accès à vos autres équipements, avec un filtrage des communications sortantes. C’est bancal. Ce n’est pas propre. Mais ça limite les dégâts. Pour être honnête, je le fais surtout parce qu’un client têtu vaut mieux qu’un client qui ne m’appelle pas.
Et pour ceux qui n’ont pas encore acheté : évitez les marques inconnues, privilégiez des appareils dont le fabricant publie des mises à jour de sécurité régulières, et surtout, méfiez-vous des prix anormalement bas. Une box à trente euros qui embarque un processeur, de la mémoire et du Wi-Fi, quelqu’un paie la différence à un moment. Ce quelqu’un, c’est vous, via vos données ou votre bande passante.
Ce qui m’énerve le plus dans cette affaire, c’est le manque de suite. Google bannit un fabricant, on coupe des serveurs, on communique, et puis on passe à autre chose. Les 1,3 million de machines infectées, elles, restent là. Aucun rappel produit, aucune obligation de nettoyage, aucun dédommagement. Autant dire que le message envoyé aux fabricants est limpide : parfois, le pire ne coûte rien.
J’ai vu Windows casser des choses avec ses mises à jour, hein, on en a tous vu. Mais là, ce n’est pas une MAJ ratée qui a installé une backdoor dans un firmware. C’est une décision commerciale. Et la parade recommandée par un des partenaires, c’est de jeter l’appareil. On marche sur la tête. Mine de rien, l’informatique grand public est devenue un Far West où plus personne ne rend de comptes.
Si vous possédez une box concernée, ne traînez pas. Débranchez-la, vérifiez votre réseau, et posez-vous la vraie question : combien vaut votre tranquillité ? Pour ma part, la réponse est toujours la même. Plus cher que la box. Le détail complet de l’affaire du botnet XCPE et des recommandations contradictoires des partenaires se trouve dans l’article original de Korben, que je vous invite à lire : Botnet XCPE – La backdoor restera en place dans les box Android TV.
Source : article original
