Des boîtes Android TV contrefaites à prix cassés circuleraient avec des applications capables d’usurper l’identité matérielle d’un téléphone… puis d’exploiter la connexion Internet du propriétaire. L’objectif : tromper des sites publicitaires et servir de relais pour le trafic, au moment où l’appareil est branché à une télévision.
Le scénario décrit par des chercheurs en cybersécurité illustre un risque concret : au-delà de la simple collecte de données, certains dispositifs reçoivent des tâches frauduleuses et s’intègrent à une chaîne opérationnelle pilotée à distance. Voici ce que l’on sait, comment l’opération fonctionnerait et surtout comment réduire l’exposition.
Une identité de smartphone pour tromper les services
Selon un rapport, des boîtes Android TV bon marché seraient expédiées avec des applications qui modifient leur identité matérielle afin de ressembler à des marques de téléphones connues. Les modèles imités incluraient notamment Samsung, Huawei, Xiaomi ou Vivo.
Une fois l’apparence “corrigée”, l’appareil ouvrirait ensuite des pages et cliquerait sur des publicités hébergées par des acteurs liés à l’opération. Autrement dit, l’usurpation sert de prérequis pour que l’appareil soit traité comme s’il provenait d’un vrai smartphone, plutôt que d’une box générique.
Deux modes de fonctionnement : attente et relais de trafic
Le point le plus préoccupant est le double rôle décrit : quand la boîte détecte un signal HDMI, elle bascule sur un comportement qui la fait agir comme relais pour d’autres flux.
En pratique, l’appareil passerait en “proxy” en utilisant le réseau du propriétaire comme nœud de sortie. Le rapport mentionne un fonctionnement de type SOCKS5 pour relayer le trafic. Lorsque le HDMI est éteint, la boîte reviendrait à un mode d’attente, ce qui permet de réduire le bruit et de ne s’activer qu’au bon moment.
Des indices de repérage… mais une liste incomplète
Les chercheurs expliquent avoir identifié l’opération en s’appuyant sur une logique de “sinkhole” déclenchée via un domaine ancien, utilisé comme mécanisme de porte dérobée et de collecte de télémétrie. Cette méthode a permis de voir un grand nombre de signalements.
Sur une journée, le sinkhole a reçu des rapports en provenance d’environ 38 000 adresses MAC distinctes, avec 65 957 rapports au total. Les contenus de ces rapports auraient souvent décrit l’appareil comme un téléphone. Toutefois, le rapport précise qu’il ne s’agit pas d’un décompte exact, car les identifiants peuvent être falsifiés ou réinitialisés.
Le modèle le plus mentionné
La majorité des appareils identifiés indiquaient un nom de modèle du type H96_MAX_V11. Les chercheurs ajoutent toutefois que leur visibilité était biaisée vers certains modèles et qu’ils n’ont pas établi une liste exhaustive des appareils potentiellement touchés.
Qui serait derrière l’opération ? Des éléments d’attribution, sans certitude totale
Le rapport attribue l’opération à un acteur chinois, Zhejiang Fengwo IoT Technology Co., Ltd., créé en 2019. Cette attribution repose notamment sur des éléments tels que des données de certificats TLS partagés, des fichiers de wiki exposés, des adresses e-mail réutilisées et des liens à des brevets.
Des enregistrements de brevets en Chine identifient séparément Zhejiang Fengwo comme titulaire d’une partie de technologies liées à l’exécution et au suivi d’éléments “digital humans”. Cependant, ces documents ne décrivent pas explicitement de publicité, ni ne prouvent à eux seuls que l’entreprise aurait opéré directement l’opération observée ou participé au schéma de fraude.
Autre limite importante : les sources consultées ne permettent pas de déterminer qui a installé les applications ni à quel moment dans la chaîne d’approvisionnement elles seraient apparues.
Comment la boîte reçoit ses “profils” et cache le matériel
D’après l’analyse, un serveur de commande et contrôle (C2) enverrait à chaque dispositif un profil complet “de téléphone”. Le profil serait construit en combinant une configuration de base et des ajustements propres au modèle ciblé.
Le rapport indique aussi que des propriétés liées au chipset seraient effacées d’une manière qui éviterait de révéler qu’il s’agit d’une carte Rockchip, Amlogic ou Allwinner. L’objectif : rendre moins probable l’identification du vrai matériel derrière l’illusion logicielle.
La vision par ordinateur pour repérer et exploiter des zones d’écran
Pour automatiser l’exécution frauduleuse, l’opération s’appuierait sur une vision par ordinateur intégrée à un workflow d’automatisation. Le rapport mentionne un modèle de détection d’objets YOLOv8s (dans l’application appelée “Script”), nommé lourui_2.
Le modèle aurait été entraîné pour reconnaître plusieurs éléments à l’écran : des régions génériques de bannières ainsi que des widgets pouvant être associés à Taboola. L’app combine ensuite le modèle de détection avec des données d’accessibilité Android et de la reconnaissance de texte via Google ML Kit.
En résumé, l’app viserait à “comprendre” l’interface au moment du chargement pour localiser les zones utiles et orchestrer les actions attendues.
Logique de campagne et déploiement : un éditeur et des modules
Le rapport décrit un éditeur personnalisé utilisé pour construire des campagnes. Il serait basé sur Blockly, un outil développé par Google (logique de programmation par glisser-déposer).
Une fois la logique construite, chaque routine serait exportée en JavaScript, puis chargée dans un stockage (référence à S3) avant d’être envoyée aux boîtes pour exécution.
Sur quatre dispositifs de test, les chercheurs auraient capturé environ 40 tâches frauduleuses, 21 campagnes uniques et 166 modules différents. Un commentaire récupéré côté développement évoquait aussi un système de modèles permettant à une petite équipe d’ingénieurs expérimentés de soutenir des opérateurs moins spécialisés, afin de réduire les coûts.
Chaîne de rémunération via un réseau d’éditeurs
La fraude aurait aussi une composante “business” : les paiements passeraient par un réseau d’éditeurs. Les chercheurs indiquent avoir identifié 144 domaines associés à des opérateurs, répartis sur sept groupes de bénéficiaires.
Au moins 84 domaines auraient chargé une balise Taboola sur leur page d’accueil. Pour relier les domaines à des entités percevant des revenus, les chercheurs se seraient appuyés sur un fichier public (sellers.json).
Le rapport présente des estimations de gains potentiels par appareil et par jour. Ces chiffres restent des modèles basés sur des hypothèses (taux de signalement et taux de remplissage des publicités), et ne constituent pas des revenus observés.
Certificat, sécurité et protection : le point d’action pour les propriétaires
Un élément important cité concerne la certification côté Google. Un porte-parole aurait précisé que ces dispositifs “non conformes” ne seraient pas des appareils Android certifiés Play Protect.
En clair : si un appareil n’est pas certifié, Google ne dispose pas forcément d’enregistrements de tests de sécurité et de compatibilité. Pour vérifier la conformité d’un appareil Android TV, Google renverrait vers la liste de partenaires sur son site dédié, et recommande aussi de suivre des étapes de contrôle.
Conseil recommandé par les autorités
Le rapport rappelle également une recommandation de l’FBI (juin 2025) : évaluer les appareils connectés, déconnecter les éléments suspects, maintenir les firmwares à jour et se méfier des box génériques vendues sur la promesse d’un contenu “gratuit”.
Comment réduire le risque au quotidien
Si vous possédez (ou envisagez d’acheter) une box streaming à bas prix, vous pouvez agir avant qu’un problème ne se matérialise. Commencez par vérifier la certification et la marque logicielle : l’absence de Play Protect est un signal d’alerte.
Ensuite, contrôlez votre réseau : changez le mot de passe du routeur, surveillez les connexions sortantes inhabituelles et isolez les appareils les plus “à risque” dans un réseau invité si votre équipement le permet. Enfin, gardez un œil sur les mises à jour : un firmware non maintenu augmente la probabilité d’expositions durables.
Enfin, si votre usage implique un branchement HDMI fréquent (et donc un mode d’activation), traitez la box comme un équipement potentiellement plus actif que d’autres appareils IoT.
Conclusion : un coût caché peut dépasser l’économie à l’achat
Les boîtes Android TV contrefaites décrites dans ce rapport illustrent un danger qui dépasse la simple gêne technique : elles pourraient usurper l’identité d’un smartphone, exploiter l’écran pour déclencher des actions publicitaires, puis utiliser la connexion du propriétaire comme relais proxy quand la TV est active.
Le plus important est de ne pas se limiter à “ça marche” : vérifiez la certification, surveillez votre réseau et méfiez-vous des appareils dont l’origine et la conformité ne sont pas clairement établies. En cybersécurité, l’économie à l’achat peut devenir un coût bien plus élevé.
Source: https://thehackernews.com/2026/07/cheap-android-tv-boxes-pose-as-phones.html
