🔍 Contexte

Publié le 2 novembre 2026 par le Google Threat Intelligence Group, cet article détaille le démantèlement du botnet XCPE, opéré par Videostrong Technology Co., un fabricant OEM/ODM Android basé en Chine. L’opération a été menée en collaboration avec la Police Nationale Japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI.

🎯 Nature de la menace

Videostrong a intentionnellement préinstallé une backdoor (x.cpe / com.oemservice) dans le firmware de plus de 1,3 million de décodeurs Android TV (set-top boxes), ainsi que d’autres appareils IoT (dispositifs de télésanté, machines à karaoké, affichage numérique). La backdoor opère au niveau de privilège android.uid.system et se réinstalle automatiquement depuis la partition /oem/ en cas de suppression.

🏗️ Architecture malveillante en trois étapes

  • Backdoor primaire : x.cpe (ou com.oemservice) préchargé dans la partition système, gère les communications C2 via HTTP puis MQTT
  • Moteur de chargement : com.abc.nexus — exécute les modules de monétisation, intègre libseccomp_guard.so pour l’anti-analyse, désactive Google Play Protect
  • Modules de monétisation : chargés dynamiquement depuis GitHub ou serveurs opérateurs, incluant des proxies résidentiels (Linkfog, AppSalt/Honeygain, BWM/IPWeb, GaGaNode, NetNut/Popanet, Traffmonetizer, EarnFM) et des modules de fraude publicitaire (HiddenView, CBOXTV, Fission)

📡 Infrastructure C2

  • Bootstrap HTTP : *.anyevonline.com:8000 (anciennement *.szbboys.com)
  • Broker MQTT : mqtt.szbboys.com sur les IPs 219.134.163.210/.211, ports non-standard 3885-3887
  • Staging malware : GitHub (pages opérateur), filemail.com, serveurs 38.145.197.135 et 23.94.49.57
  • Capacités MQTT : installation silencieuse d’APK, exécution de commandes shell, capture d’écran, désactivation de Google Play Protect, reconnaissance réseau

💰 Monétisation

Videostrong vendait l’accès à des affiliés criminels qui déployaient leurs propres modules. Les activités observées incluent :

  • Enrôlement dans des réseaux de proxies résidentiels
  • Fraude publicitaire (impressions factices, WebViews cachées)
  • Exfiltration de données (comptes, inventaires de packages, logs système)
  • Chargement de backdoors supplémentaires (Moyu, Spirit, Bird, Fission)

⚙️ Évolution (depuis août 2026)

De nouveaux droppers remplacent com.abc.nexus, déguisés en applications système (com.android.system.ntp, com.android.sso.auth.handler). Ils utilisent libexploit.so pour rooter ADB, s’installer dans /system/priv-app/ et s’octroyer android.permission.INSTALL_PACKAGES et android.permission.REBOOT.

🛡️ Actions de Google

  • Actions légales pour démanteler les domaines C2 de Videostrong et d’une douzaine de familles de malwares affiliées
  • Bannissement de Videostrong de l’écosystème Android certifié
  • Amélioration des processus de vérification du firmware Android TV
  • Impact estimé : perturbation d’au moins 10 millions d’appareils supplémentaires compromis via les affiliés

📋 Type d’article

Il s’agit d’une analyse technique approfondie publiée par Google Threat Intelligence Group, combinant rapport d’incident, divulgation d’IoCs et description détaillée d’une opération de démantèlement d’infrastructure malveillante à des fins de protection de l’écosystème Android.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Videostrong Technology Co. (cybercriminal) —

TTP

  • T1195.003 — Supply Chain Compromise: Compromise Hardware Supply Chain (Initial Access)
  • T1542.001 — Pre-OS Boot: System Firmware (Persistence)
  • T1547 — Boot or Logon Autostart Execution (Persistence)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1071 — Application Layer Protocol: MQTT (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1113 — Screen Capture (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1496 — Resource Hijacking (Impact)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1055 — Process Injection (Defense Evasion)
  • T1573 — Encrypted Channel (Command and Control)
  • T1083 — File and Directory Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • XCPE (x.cpe) (backdoor)
  • com.abc.nexus (ABCNexus) (loader)
  • Linkfog (other)
  • Jaguar (other)
  • AppSalt / Honeygain (other)
  • BWM / IPWeb (other)
  • GaGaNode (other)
  • NetNut / Popanet (other)
  • Traffmonetizer (other)
  • EarnFM (other)
  • Spirit (backdoor)
  • Moyu (backdoor)
  • Bird (backdoor)
  • Fission (backdoor)
  • HiddenView (other)
  • libseccomp_guard.so (tool)
  • libexploit.so (tool)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ cloud.google.com — source reconnue (liste interne) (20pts)
  • ✅ 47853 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 270 IOCs dont des hashes (15pts)
  • ✅ 3/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Videostrong Technology Co. (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 219.134.163.210 (ip) → VT (4/92 détections)
  • 219.134.163.211 (ip) → VT (3/92 détections)
  • szbboys.com (domain) → VT (3/92 détections)

🔗 Source originale : https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet?hl=en