Proxys résidentiels : 1,3 million de box TV piégées et des relais à la Maison Blanche

Le 2 novembre 2026, Google a annoncé le démantèlement de XCPE. Cette porte dérobée, un accès caché qui permet de piloter une machine à distance, avait enrôlé plus de 1,3 million de box TV Android dans un réseau d’appareils piratés. Les acheteurs de ces boîtiers prêtaient ainsi leur connexion à des inconnus sans le savoir. Le 4 novembre 2026, le journaliste Brian Krebs a relayé une découverte voisine de la société Layer3 Intel : un trafic du même genre sortait du réseau de la Maison Blanche.

Un proxy résidentiel est un intermédiaire : il fait passer le trafic d’autres personnes par la connexion domestique d’un particulier. Ce trafic paraît alors provenir du réseau de l’appareil utilisé. Les services de ce genre vendent l’accès à des appareils du quotidien. Leurs clients s’en servent notamment pour prendre le contrôle de comptes, frauder la publicité ou aspirer massivement des contenus destinés à des projets d’intelligence artificielle (IA). Ben Brundage, fondateur de la société Synthient, indique que certains revendeurs cèdent la bande passante dès 60 cents le gigaoctet.

XCPE, une porte dérobée d’usine

Le Google Threat Intelligence Group, l’équipe de veille sur les menaces de l’entreprise, attribue XCPE avec une confiance élevée à Videostrong Technology, un industriel installé à Shenzhen, en Chine. Ce fabricant aurait lui-même développé, déployé et exploité ce dispositif pour en tirer profit. Il le rentabilisait en vendant l’accès aux boîtiers à des affiliés criminels. Les modules installés servaient surtout aux proxys résidentiels et au partage de bande passante. Ils permettaient aussi la fraude publicitaire et le chargement d’autres logiciels malveillants. Sollicité par The Register, Videostrong n’a pas répondu dans l’immédiat.

Videostrong produisait notamment la gamme Mecool, ainsi que des boîtiers en marque blanche, vendus sous le nom de distributeurs étrangers. L’appareil étudié par Synthient était un MECOOL KM9PRO fonctionnant sous Google TV (Android 12). Entre le 3 juin et le 1er octobre 2026, la société TrendAI a recensé plus de 3,8 millions d’adresses IP domestiques et mobiles distinctes liées à l’opération. Une adresse IP est l’identifiant d’une connexion sur Internet.

Le programme malveillant résiste au nettoyage. Caché dans une partition protégée du système, il se réinstalle au redémarrage quand on supprime l’application. Une réinitialisation d’usine ne suffit pas non plus, car le code loge dans le micrologiciel, le logiciel interne du boîtier. Une fois installé, il se connectait à un serveur qui donnait à l’opérateur le contrôle complet de chaque box à distance. Pour le site Cipherssecurity, remplacer l’appareil reste la seule solution que l’utilisateur maîtrise.

Google a rompu avec Videostrong et lui interdit désormais de fabriquer des terminaux dotés des applications du groupe préinstallées. L’interdiction de construire et de vendre des appareils Android certifiés vaut aussi pour ses futures filiales. Le fabricant avait masqué son code pour exploiter une lacune des tests de Google. Le groupe américain a aussi obtenu la fermeture de domaines de commande, qui transmettent les ordres aux appareils infectés, utilisés par plus d’une douzaine de familles de logiciels malveillants. Google estime que cette fermeture coupe l’accès à au moins 10 millions d’appareils compromis supplémentaires. L’opération associait l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI.

236 sorties à la Maison Blanche

À Washington, Layer3 Intel a repéré des sorties de proxys résidentiels, c’est-à-dire des points où le trafic relayé ressort sur Internet, depuis le réseau AS2650. Ce numéro de système autonome identifie le réseau géré par la présidence américaine. Entre le 5 octobre et le 3 novembre 2026, la société a compté 236 passages, répartis sur 26 jours. Ils provenaient de six adresses IP différentes et impliquaient 28 services de proxys distincts.

L’essentiel du trafic circulait en soirée, à l’heure de la côte Est. Layer3 Intel y voit la marque d’utilisateurs individuels plutôt que d’un Wi-Fi public pour visiteurs, et soupçonne des appareils infectés par un SDK de proxy. Un SDK, ou kit de développement, est une brique logicielle que des développeurs intègrent à leurs applications. Synthient relie l’activité à plusieurs installations de Windows 11 du service Infatica. Brian Krebs affirme que plusieurs collaborateurs de la Maison Blanche utilisent des ordinateurs ou des téléphones équipés de ces services. Sollicitée, la présidence n’a pas répondu dans l’immédiat.

Layer3 Intel reste prudente : ses données montrent les sorties, pas l’appareil ni son utilisateur. La société n’a prévenu personne de ses découvertes. Un SDK mal sécurisé pourrait pourtant ouvrir l’accès au réseau interne. En janvier 2026, des dizaines de services de proxys ont dû corriger une faille qui permettait de prendre le contrôle d’appareils sur les réseaux locaux de leurs utilisateurs. Le réseau Kimwolf, étudié par Synthient, a touché au moins 2 millions d’appareils, surtout des Android dont le service de débogage restait exposé. Rien ne prouve toutefois que les appareils de la Maison Blanche présentent la même faille.

Des applications qui louent la ligne

Ces relais s’installent par des canaux ordinaires. Des développeurs d’applications intègrent les SDK fournis par les réseaux de proxys résidentiels. Certaines de ces applications signalent mal cette participation, d’autres logiciels la cachent. Des VPN gratuits illégitimes se glissent aussi dans des jeux et des logiciels piratés. Un VPN, ou réseau privé virtuel, est censé protéger la connexion. Le monde du travail n’est pas épargné : trop souvent, ces services émettent depuis des appareils que des salariés apportent au bureau. Une PME peut donc héberger un relais sans l’avoir choisi.

Nous exhortons les utilisateurs à s’en tenir aux magasins d’applications de confiance et à vérifier les autorisations des VPN et proxys tiers.

Box suspecte : les bons gestes

Face à une box suspecte, le site SecurityOnline appelle à débrancher sans attendre du réseau domestique les boîtiers Android TV non certifiés. Supprimer l’application ne suffit pas : elle se réinstalle au redémarrage depuis une partition protégée. Le démantèlement a retiré les serveurs, pas le code : Cipherssecurity rappelle que la porte dérobée reste sur les boîtiers. À qui veut garder l’appareil, ce site conseille de le placer sur un réseau invité. Google recommande aussi d’acheter auprès de fabricants réputés et de garder activé Play Protect, l’outil de sécurité intégré à Android.

À notre avis, ces deux affaires portent la même leçon : un appareil bon marché ou une application gratuite peut se payer en bande passante. L’adresse IP du foyer sert alors de façade à d’autres. Pour un particulier comme pour une très petite entreprise (TPE), trois gestes réduisent le risque. D’abord, faire l’inventaire des équipements branchés sur la box Internet. Ensuite, placer téléviseurs, boîtiers et objets connectés sur un réseau séparé. Enfin, refuser toute application qui rémunère le partage de connexion. En cas de doute sur un boîtier ou sur la configuration d’un réseau, notre accompagnement bénévole et gratuit peut aider à faire le point, dans la mesure de nos disponibilités.