Google, Plume, TrendAI™, Lumen, HUMAN Security, Synthient et la Police nationale japonaise ont mené une action coordonnée, combinant recherche en sécurité, intelligence sur les menaces et compétences cyber pour identifier et démanteler le botnet X.CPE.
Mountain View, Californie, États-Unis, 2 novembre 2026 /PRNewswire/ — Aujourd’hui, un ensemble de partenaires du secteur privé et du secteur public ont annoncé avoir coordonné l’élimination de X.CPE. Ce réseau mondial de zombies était caché dans plus de 1,3 million de décodeurs situés dans plus de 200 pays. Ce programme malveillant avait été intégré avant la vente des appareils, exploitant les appareils et les connexions Internet domestiques des abonnés sans leur connaissance ni leur consentement. Cette opération d’élimination a été menée par Google, Plume, TrendAI™, Lumen, HUMAN Security et Synthient, avec la participation du Bureau national de la police du Japon.
Charley Snyder, responsable des opérations de lutte contre les groupes de menace de renseignement de Google, a déclaré : « Ces opérations augmentent les coûts pour les criminels et montrent que les infrastructures sur lesquelles ils comptent ne sont pas inaccessibles. L'élimination de X.CPE nécessite une collaboration entre partenaires du secteur. Cela démontre que la collaboration est l'un des outils les plus puissants pour faire face aux menaces transnationales et intersectorielles. »
Un appareil familier, cachant une menace inconnue
X.CPE est intégré dans le firmware, soit le logiciel qui contrôle le fonctionnement de base de l'appareil, et il est déjà installé avant que la box ne soit livrée à l'abonné. X.CPE a été conçu pour contourner les contrôles de sécurité effectués avant la mise sur le marché ; Google a depuis mis à jour ses processus d'audit en conséquence et interdit aux fabricants d'équipements d'origine (OEM) concernés, ainsi qu'à toutes leurs filiales ou sociétés affiliées futures, de produire des appareils préinstallés avec des applications Google. Contrairement aux infections qui dépendent de l'ouverture par l'utilisateur d'une pièce jointe suspecte ou de l'installation d'une application, cette menace est présente en tant que composant intégré de l'appareil lui-même. Les abonnés n'ont reçu aucune demande de consentement, aucune notification ni option de retrait.
Google, Plume, TrendAI™, Lumen, HUMAN Security et Synthient ont mené une opération coordonnée contre X.CPE en collaboration avec le Bureau de la police nationale du Japon. Chaque institution a mobilisé ses compétences spécifiques en matière de sécurité des appareils connectés, d'analyse de logiciels malveillants, de visibilité réseau et de fraude numérique pour analyser et perturber le fonctionnement de ce botnet.
Ces organismes ont conjointement démantelé une menace cachée derrière des activités apparemment ordinaires : un logiciel intégré aux décodeurs TV offrait aux contrôleurs de botnets un accès à distance, leur permettant d'utiliser les connexions haut débit domestiques sans le consentement des abonnés. Cette opération de nettoyage a également perturbé les domaines de commande et de contrôle utilisés par les logiciels malveillants associés à des activités criminelles. Étant donné que ces acteurs distribuent également leurs modules via des canaux autres que X.CPE, Google estime que la fermeture de ces domaines coupera l'accès à au moins 10 millions d'appareils supplémentaires infectés.
Cette action démontre qu'il est essentiel de relier les renseignements entre organisations pour faire face aux menaces qui traversent les frontières technologiques et réseau. Les partenaires ont combiné des perspectives différentes sur les appareils infectés, les logiciels malveillants et le trafic internet, soutenant cette opération coordonnée de nettoyage visant à démanteler l'accès non autorisé et la monétisation illégale, ainsi qu'à répondre aux risques pour la vie privée des abonnés, les ressources de large bande et la confiance dans les appareils connectés.
Transformer sa connexion Internet domestique en activité commerciale sans autorisation
Ce botnet génère des revenus de plusieurs manières à partir des appareils infectés, notamment la revente de bande passante, la diffusion de contenu vidéo, la fraude publicitaire, le chargement de backdoors supplémentaires et l'installation d'applications payantes dans les versions antérieures.
Pour les fournisseurs de services, ces découvertes mettent en lumière des risques liés à la chaîne d'approvisionnement qui ne se manifestent pas nécessairement par le fonctionnement quotidien de l'appareil. Une boîte de streaming qui fonctionne normalement peut tout de même générer un trafic inexpliqué et affaiblir la confiance dans le service haut débit.
Compétences professionnelles complémentaires, actions coordonnées
Les partenaires ont soutenu l'opération de nettoyage dirigée par Google :
- TrendAI™ : Robert McArdle, directeur de la recherche sur la cybercriminalité chez TrendAI™, déclare : « Nous saluons l'action déterminée de Google pour éliminer cette menace. Notre recherche a identifié plus de 1,3 million d'appareils affectés par cette campagne. Cela signifie que des millions de foyers et d'entreprises ignorent complètement que leurs appareils sont utilisés comme outils pour des activités criminelles actives — que ce soit pour tromper les annonceurs ou emprunter leur connexion via des proxies résidentiels pour mener d'autres attaques, ce qui inclut souvent de l'usurpation d'identité en se faisant passer pour des personnes de leur région. L'action de Google et de ses partenaires de recherche a considérablement ralenti ces attaquants, et si ceux-ci tentent de se reconstruire, notre recherche TrendAI™ les surveillera de près. »
- HUMAN : Gavin Reid, chef de la sécurité informatique chez HUMAN, a déclaré : « Le réseau d'appareils infectés persiste grâce au profit : les opérateurs contrôlent sans autorisation les appareils et les connexions domestiques, puis monétisent cet accès via des services proxy et diverses activités frauduleuses. Comme le montre cette opération, la collaboration collective coupe l'infrastructure nécessaire à la monétisation, augmente les coûts de fonctionnement de ces réseaux et affaiblit les incitations qui les soutiennent. »
- Synthient : Benjamin Brundage, PDG de Synthient, a déclaré : « Les réseaux de paiement à l'installation illégaux constituent un pilier essentiel pour un écosystème de fraude plus vaste, stimulant diverses activités allant de la fraude publicitaire directe aux réseaux d'agents non réglementés, qui à leur tour alimentent les attaques par remplissage d'identifiants et les botnets DDoS. Éliminer X.CPE contribue à protéger globalement ce domaine, ainsi que les consommateurs innocents victimes de ce programme. »
Recherche et ressources :
- Google : https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume : http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™ : https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
À propos de Plume
À propos de TrendAI™
TrendAI™, leader mondial de la sécurité IA et division entreprise de Trend Micro, aide les organisations à obtenir une visibilité complète, une gouvernance et une intégration sécurisée de l'IA pour renforcer la confiance, stimuler l'innovation et éliminer les risques. TrendAI™ est fait confiance par des entreprises et des institutions gouvernementales de 185 pays pour protéger l'ensemble de l'organisation, de l'identité à l'infrastructure en passant par les données. Les entreprises du Fortune Global 500 s'appuient sur TrendAI™ pour repousser les menaces jusqu'à 115 jours plus tôt grâce aux meilleures informations mondiales sur les menaces et les attaques. Pour en savoir plus, visitez trendaisecurity.com.
À propos de Lumen
Lumen Technologies relie les personnes aux données et aux applications via son réseau et ses services technologiques. Son équipe de recherche et d'exploitation sur les menaces, Black Lotus Labs, utilise la visibilité mondiale du réseau pour identifier les activités malveillantes, générer des informations sur les menaces et aider à protéger les entreprises et l'Internet. Pour plus d'informations, visitez Lumen Technologies.
À propos de HUMAN Security
HUMAN Security aide les organisations à protéger les expériences numériques en détectant et en bloquant les menaces automatisées, la fraude et les abus. Ses technologies et ses intelligence sur les menaces permettent aux entreprises et aux plateformes de vérifier les interactions numériques et d'établir la confiance tout au long du parcours client. Pour en savoir plus, visitez humansecurity.com.
À propos de Synthient
Synthient fournit des informations pour identifier les proxies résidentiels, les VPN et les infrastructures de botnets, aidant les organisations à évaluer les risques de trafic et à enquêter sur les abus. Ses chercheurs analysent les réseaux de proxies, les botnets et les infrastructures adverses pour révéler les menaces émergentes. Pour plus d'informations, visitez Synthient.