🗓️ Contexte

Publié le 2 novembre 2026 sur KrebsOnSecurity, cet article relate une opération coordonnée menée par Google et plusieurs partenaires industriels contre le botnet XCPE, dont le nom est tiré d’un composant central du malware associé.

🎯 Nature de la menace

Le fabricant chinois Videostrong Technology Co. a délibérément intégré un malware backdoor dans ses box TV Android, enrollant plus de 1,3 million d’appareils dans le botnet XCPE. Ce malware :

  • Rendait l’adresse IP des victimes disponible à la revente via des services de proxy résidentiels
  • Permettait le téléchargement de modules malveillants supplémentaires pour des affiliés criminels
  • Conduisait de la fraude publicitaire
  • S’activait dès le premier démarrage de l’appareil, contournant les contrôles de compatibilité Android

🌐 Périmètre d’infection

Bien que les box TV constituent la majorité du botnet, le malware XCPE a également été retrouvé dans :

  • Appareils de télésanté (telehealth)
  • Machines à karaoké
  • Systèmes d’affichage numérique (digital signage)

Le démantèlement devrait couper l’accès à plus de 10 millions de systèmes compromis supplémentaires.

🏢 Acteurs impliqués côté malveillant

  • Videostrong Technology Co. (Chine) : fabricant à l’origine du backdoor
  • Skyworth Technology (Chine, coté en bourse) : commercialise les box MECOOL, également infectées par le malware Videostrong
  • Fournisseurs de proxy résidentiels dont les SDK étaient téléchargés par les appareils infectés : AppSalt/Honeygain (Oxylabs, Lituanie, rebrandé en « Source »), NetNut (Alarum Technologies, Israël), EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb, GaGaNode, Grass

🔧 Actions menées

  • Google a rompu ses liens avec Videostrong et pris des actions légales pour faire tomber les domaines et serveurs de contrôle du botnet
  • Synthient (startup de tracking de proxies) a contribué à la recherche, notamment sur le botnet connexe Kimwolf (janvier 2026)
  • La Motion Picture Association (MPA) a collaboré avec Synthient pour analyser physiquement des box TV infectées
  • En juillet 2026, le FBI avait déjà saisi des centaines de domaines liés à NetNut dans le cadre d’une opération distincte contre le botnet Popa

📊 Type d’article

Article de presse spécialisée relatant une opération de démantèlement d’infrastructure cybercriminelle, s’appuyant sur les rapports du Google Threat Intelligence Group (GTIG), de Synthient, de Plume Security Labs, Black Lotus Labs et TrendAI.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Videostrong Technology Co. (cybercriminal) —
  • Skyworth Technology (cybercriminal) —

TTP

  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1542 — Pre-OS Boot (Defense Evasion)
  • T1090.002 — Proxy: External Proxy (Command and Control)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1496 — Resource Hijacking (Impact)
  • T1105 — Ingress Tool Transfer (Command and Control)

Malware / Outils

  • XCPE (botnet)
  • Kimwolf (botnet)
  • Popa (botnet)
  • AppSalt (other)
  • Honeygain (other)
  • Grass (other)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ✅ krebsonsecurity.com — source reconnue (liste interne) (20pts)
  • ✅ 7844 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Videostrong Technology Co., Skyworth Technology (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://krebsonsecurity.com/2026/11/tech-firms-dismantle-botnet-that-turned-1-3m-tv-boxes-into-proxies/