CyberTVLab
← Tous les articles

Analyse · Par CYBERTVLAB ·

Le problème des botnets de box TV : de BadBox à Kimwolf

Depuis trois ans, l'un des vecteurs de livraison de malware les plus fiables de l'électronique grand public, c'est la box TV bon marché. Les campagnes changent sans cesse. Les conditions de marché qu'elles exploitent, non.

Un schéma qui se répète

Les campagnes ci-dessous ne forment pas une seule famille de malware continue. Ce sont des opérations distinctes — équipes différentes, code différent, infrastructures parfois imbriquées — qui exploitent toujours les mêmes conditions : un matériel Android bon marché, des chaînes d'approvisionnement de firmware opaques, des chemins de mise à jour faibles ou inexistants, et des appareils qui restent connectés, sans surveillance, pendant des années.

Sur une branche de l'histoire, les racines techniques sont effectivement profondes. Les chercheurs de Kaspersky ont documenté le cheval de Troie Triada en 2016 et l'ont décrit comme l'un des trojans mobiles les plus avancés de son époque. Ce sont les portes dérobées fondées sur Triada qui ont donné à la lignée BadBox sa capacité à durer ; d'autres campagnes sont arrivées aux mêmes appareils par d'autres chemins. Kaspersky, qui a enquêté sur plusieurs de ces familles, dit avoir confirmé des liens entre Triada, Vo1d et BADBOX — une infrastructure C2 partagée, et une attaque de 2022 dans laquelle des mods WhatsApp portaient à la fois Triada et BADBOX, que les chercheurs décrivent comme « une attaque conjointe des opérateurs de BADBOX et de Triada » — tout en précisant que ces connexions ne sont pas nécessairement transitives.

Les chapitres grand public se sont enchaînés vite. En 2023, l'équipe Satori de HUMAN Security a révélé BadBox : environ 74 000 appareils porteurs d'une porte dérobée que les chercheurs décrivaient comme fondée sur Triada. En septembre 2024, Doctor Web a signalé Vo1d — une porte dérobée entièrement différente — sur près de 1,3 million de box Android TV dans 197 pays, implantée dans la partition système, sans que le vecteur d'infection ait jamais été établi.

Puis est venu BadBox 2.0. Révélé en mars 2025 par HUMAN Security avec Google, Trend Micro et la Shadowserver Foundation, il infectait environ un million d'appareils au moment de la divulgation — surtout du matériel de marques inconnues, non certifié : box TV, tablettes, projecteurs et unités d'infodivertissement automobiles de seconde monte. Sa porte dérobée principale, BB2DOOR, est décrite comme fondée sur Triada, et elle atteignait les appareils de trois manières : un composant préinstallé, du code récupéré depuis un serveur distant au premier démarrage, et plus de 200 versions troyanisées d'applications populaires distribuées via des boutiques tierces. Les modèles cités dans la recherche incluent X96mini, MXQ9PRO, KM9PRO et TV98 — quatre entrées d'une liste de 56 modèles en annexe du rapport. Ces noms parleront à quiconque a déjà parcouru une place de marché à la recherche d'une « box TV intelligente ».

Du trafic a été observé depuis 222 pays, et le sinkholing de Shadowserver a montré qu'environ un demi-million d'appareils continuaient de joindre leurs serveurs. Google dit avoir mis à jour Play Protect pour bloquer les applications au comportement BadBox, et en juillet 2025 a poursuivi les opérateurs de l'opération devant le tribunal fédéral de New York — décrivant plus de dix millions d'appareils non certifiés compromis sur la durée de la campagne. Ce chiffre et celui de HUMAN sont tous deux vrais, et ils mesurent des choses différentes : un peu plus d'un million d'appareils observés à la divulgation, en mars 2025 ; plus de dix millions revendiqués cinq mois plus tard, sur l'ensemble de l'opération. Ni l'un ni l'autre n'est un recensement précis.

Un nom de modèle dans une liste d'indicateurs de recherche ne prouve pas que chaque unité vendue sous ce nom est affectée — les révisions matérielles, les versions de firmware et les lots de la chaîne d'approvisionnement diffèrent. Vérifiez la version exacte avant de tirer des conclusions sur un appareil que vous possédez.

Et le schéma ne s'est pas arrêté. En décembre 2025, XLab de QiAnXin a signalé Kimwolf, un botnet DDoS d'environ 1,8 million d'appareils Android — téléviseurs, set-top boxes, tablettes — avec du matériel de marque SuperBox et X96Q dans sa liste de victimes, et l'a attribué, avec un haut degré de confiance, au groupe Aisuru — citant, entre autres preuves, un certificat de signature partagé et une infrastructure réutilisée. En février 2026, l'étude Keenadu de Kaspersky a montré le même mode opératoire de chaîne d'approvisionnement un cran plus profond : une porte dérobée intégrée au firmware de nouveaux appareils — des tablettes, dans tous les cas analysés par les chercheurs — dont une application système de déverrouillage facial que Kaspersky a décrite comme le premier trojan qu'elle ait rencontré au sein d'un service de reconnaissance faciale. En mai 2026, Kaspersky a résumé ses observations sur plusieurs unités SuperBox examinées fin 2025 : un firmware qui, au démarrage, contactait des serveurs appartenant à l'application de messagerie Tencent QQ et au service de proxy « Grass » — louant en pratique la connexion Internet du propriétaire — et qui embarquait un scanner réseau, un analyseur de trafic et des outils de détournement DNS prêts à l'emploi. En avril 2026, ces box étaient encore vendues ouvertement sur de grandes plateformes.

Cette dernière distinction compte, et elle vaut pour toute la chronologie : les chercheurs ont observé les connexions proxy ; les capacités de scan et de DDoS ont été évaluées à partir du code. « Capable de » et « observé en train de » sont deux affirmations différentes — et les deux méritent d'être prises au sérieux.

Pourquoi les box TV

Rien de tout cela n'est un accident. Une box TV est un hôte presque idéal pour ce type de malware :

  • L'économie récompense les raccourcis. Fabriquer un appareil certifié — tests de compatibilité, applications Google sous licence, chaîne de mises à jour — coûte de l'argent. C'est précisément en supprimant ces coûts qu'une box atteint un prix agressif. L'infection se produit souvent quelque part dans la chaîne d'approvisionnement, et la marque inscrite sur la box peut elle-même n'en rien savoir.
  • Toujours allumés, rarement surveillés. Ces appareils restent connectés et en service pendant des années, bien après que quiconque les ait mis à jour — et peu de gens vérifient jamais ce que fait une box de streaming.
  • Ils vivent sur le réseau domestique. Une box dans le salon partage le Wi-Fi avec les téléphones, les ordinateurs portables, les NAS, les caméras et les serrures connectées. Un malware présent là-bas n'y reste pas isolé.

Ce que le malware cherche vraiment

La fraude est plus banale — et plus rentable — qu'une prise de contrôle spectaculaire. La monétisation documentée comprend la fraude publicitaire programmatique (publicités et vues web cachées), la fraude au clic, la création de faux comptes et l'une des catégories qui croît le plus vite : les proxys résidentiels. Cette dernière signifie qu'un inconnu peut louer votre connexion Internet et apparaître en ligne sous votre identité. De l'extérieur, le trafic provenant de votre adresse IP peut finir associé à la fraude, au spam et aux abus — et les conséquences visibles (inscriptions bloquées, CAPTCHAs sans fin, services traitant votre connexion comme hostile) retombent sur votre foyer, pas sur l'opérateur.

Les risques en aval documentés dans ces campagnes incluent la prise de contrôle de comptes, l'interception d'OTP, le scan du réseau domestique et une manipulation DNS qui peut rediriger silencieusement les connexions des appareils.

Ce qui aide vraiment

  • Préférez les appareils certifiés. La certification Play Protect est la ligne de partage la plus nette — nous expliquons comment vérifier le vôtre dans notre guide de deux minutes.
  • Ne désactivez jamais la protection de la plateforme — Play Protect sur les appareils Android TV et Google TV certifiés, ou les contrôles intégrés sur les autres plateformes — et considérez les instructions du type « désactivez X pour terminer l'installation » comme un signal d'alarme.
  • Segmentez votre réseau. Placez les téléviseurs, caméras, enceintes et robots aspirateurs sur un réseau Wi-Fi séparé des téléphones, ordinateurs et NAS — et vérifiez que la séparation bloque réellement l'accès à votre réseau local, car un réseau invité mal configuré donne un faux sentiment de sécurité.
  • Gardez le firmware et le routeur à jour, et supprimez toute application que vous n'avez pas installée vous-même — boutiques supplémentaires, « boosters », « nettoyeurs ».

Et si vous soupçonnez que la box elle-même est compromise — des éléments préinstallés que vous n'avez jamais installés, un trafic inexpliqué — désinstaller des applications peut ne pas suffire : ce type d'implant vit dans la partition système, et une réinitialisation d'usine peut ne pas le supprimer. Déconnectez-la de votre réseau, cessez de l'utiliser pour des comptes sensibles, vérifiez si le vendeur publie un firmware propre et signé, et remplacez l'appareil si la chaîne de confiance ne peut pas être rétablie. Une application exécutée au-dessus d'un firmware compromis ne peut pas être pleinement digne de confiance pour voir ou supprimer ce qui se trouve en dessous.

La bonne nouvelle : c'est un problème bien documenté, avec un ensemble de défenses identifiable. La partie inconfortable, c'est que les mêmes conditions de marché ont désormais produit une nouvelle opération à peu près chaque année — et que les box sont toujours en rayon.

Sources

Deltavant est une application antimalware embarquée pour Android TV et Google TV, actuellement en test fermé sur Google Play. En savoir plus sur Deltavant.