Que s’est-il passé ?
Selon Google Threat Intelligence Group, une porte dérobée intégrée au logiciel de plusieurs appareils fabriqués par Videostrong permettait à des opérateurs de charger silencieusement des modules malveillants. Google attribue avec un niveau de confiance élevé le développement et l’exploitation de ce dispositif au fabricant. Des partenaires ont aidé à neutraliser l’infrastructure de commande.
À quoi servaient les appareils compromis ?
Les modules installés pouvaient détourner la connexion Internet des utilisateurs pour faire transiter du trafic tiers, alimenter des réseaux de proxys résidentiels, frauder à la publicité et charger d’autres logiciels malveillants. Le propriétaire pouvait ignorer que son équipement participait à ces opérations.
Les box sont-elles désormais sûres ?
Non, le démantèlement des serveurs de commande ne signifie pas que la porte dérobée a été retirée de chaque appareil. Google décrit un composant XCPE préinstallé dans une partition système et capable de réapparaître après suppression. Une simple désinstallation ou réinitialisation ne garantit donc pas l’assainissement. Les appareils commercialisés sous une marque donnée ne sont pas tous nécessairement compromis : le modèle et la version du micrologiciel comptent.
Que faire si l’on possède une box suspecte ?
Commencer par relever la marque, le modèle exact et la version du micrologiciel. Vérifier les avis du fabricant et les listes d’appareils recensés par les chercheurs, en gardant à l’esprit qu’elles peuvent être incomplètes. Si l’appareil est signalé comme touché ou si son origine est douteuse, le déconnecter du réseau et demander au fabricant un micrologiciel fiable ou un remplacement. Éviter les micrologiciels téléchargés depuis des sites non officiels. Si la box a servi à saisir des identifiants sensibles, modifier les mots de passe depuis un appareil de confiance et surveiller les comptes concernés. Placer les objets connectés sur un réseau séparé peut limiter leurs accès aux autres équipements.
Comment mieux choisir ses appareils connectés ?
Privilégier un vendeur identifiable, un fabricant proposant des mises à jour documentées et un support de sécurité clair. Vérifier la certification annoncée, tout en sachant qu’elle ne constitue pas une preuve absolue d’absence de code malveillant : l’affaire XCPE concerne aussi des appareils passés par un processus de certification.