Roger Gnanih
Fin octobre, un botnet de plus de 1,3 million d'appareils Android, en grande majorité des boîtiers TV, a perdu le contrôle de ses serveurs après une opération menée par Google. Le point le plus marquant : Google se dit très confiant sur le fait que le fabricant, Videostrong, a lui-même placé une porte dérobée dans ses boîtiers et vendu l'accès à des criminels.
Ce qui s'est passé
Videostrong, basé à Shenzhen, fabrique des boîtiers Android TV sous son propre nom et pour d'autres marques. La porte dérobée, baptisée x.cpe, a été intégrée à de nombreux modèles et marques pendant plusieurs années. Google écarte l'hypothèse d'un employé malveillant ou d'une simple erreur.
Google a obtenu par voie judiciaire la mise hors service des domaines et serveurs qui pilotaient le botnet, ainsi que ceux de plus d'une douzaine de familles de malwares chargées par cette porte dérobée. La police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI ont participé. Google s'attend à couper l'accès des criminels à au moins 10 millions d'autres appareils infectés par d'autres voies, tout en prévenant qu'ils changent vite d'outils.
Le fabricant est banni : il ne peut plus produire ni vendre d'appareils Android certifiés, ni fournir des logiciels à d'autres fabricants certifiés.
Ce que faisait la porte dérobée
x.cpe tourne comme une application système dans le firmware, avec des droits système. Pour installer des logiciels en silence, elle commence par désactiver les contrôles de Google Play Protect. Ses opérateurs pouvaient alors installer des applications à l'insu du propriétaire, exécuter des commandes, capturer l'écran et cartographier le réseau où se trouve le boîtier.
Google a observé des captures d'écran en direct, des frappes envoyées à distance, l'extraction d'identifiants de comptes, de listes d'applications et de journaux système, et des shells inversés, c'est-à-dire une ligne de commande à distance sur le boîtier.
La plupart des modules criminels transformaient les boîtiers en proxys résidentiels : le trafic d'un client passe par la connexion internet d'un foyer, et paraît venir d'un particulier ordinaire. D'autres modules simulaient des vues publicitaires. Au-delà des boîtiers TV, la porte dérobée a été retrouvée sur des appareils de télésanté, des machines de karaoké et des écrans d'affichage.
Combien d'appareils, et où
TrendAI a compté 1 472 554 appareils infectés sur 206 modèles entre le 3 juin et le 1er octobre, et estime que le chiffre réel est au moins aussi élevé. La Malaisie, le Brésil, l'Irak, le Mexique et Taïwan sont les plus touchés. Les sources citées ne donnent pas de chiffre pour l'Afrique, mais ces boîtiers bon marché se vendent partout.
Pourquoi c'est difficile à nettoyer
La porte dérobée fait partie du firmware : la supprimer ne tient pas, elle se réinstalle au redémarrage. Elle tourne comme une application système signée avec la clé du fabricant. TrendAI estime donc que le nettoyage demande une action du fabricant, une protection de la plateforme ou le remplacement de l'appareil. Plume recommande une réinitialisation d'usine complète sans dire si elle supprime x.cpe elle-même. Synthient va plus loin et conseille de jeter les boîtiers concernés.
Autre point notable : Google reconnaît une faille dans ses tests de compatibilité. Videostrong a masqué son code pour passer les tests et l'a chargé après le premier démarrage. Google dit avoir changé son processus de revue. Au 2 novembre, le site du fabricant présentait encore des produits « Google Certified Android TV Box ».
Que faire maintenant ?
- Vérifiez la marque et le modèle de vos boîtiers TV Android. Synthient publie une liste de 182 noms de modèles vus dans la campagne, en précisant qu'un nom de modèle ne prouve pas à lui seul une infection. Ses analyses visent surtout la marque MECOOL.
- Si un appareil figure sur la liste, débranchez-le et remplacez-le plutôt que de compter sur une réinitialisation.
- Placez les objets connectés (boîtiers, caméras, écrans) sur un réseau séparé de vos ordinateurs et de vos outils de travail.
- En entreprise, bloquez les domaines et adresses de contrôle publiés par Synthient et repérez les appareils concernés sur le réseau.
- Pour le télétravail, traitez les appareils personnels du réseau domestique comme faisant partie de votre surface d'attaque, et gardez les accès professionnels sur des machines gérées.
À retenir
Une certification « Google » sur la boîte ne garantit pas que le firmware soit sain. Pour les appareils bon marché branchés à votre réseau, le choix du fournisseur est un choix de sécurité.
Source : The Hacker News
