Google a intenté une action en justice contre les opérateurs du botnet BadBox 2.0, qui aurait compromis plus de 10 millions d’appareils Android dans le monde, apprend-on auprès de Cybernews. Un point important : ce sont principalement les versions open source d’Android (AOSP), non certifiées par Google, qui sont visées.
La plainte, déposée auprès du tribunal fédéral de New York, vise 25 individus basés en Chine. Selon les enquêtes de Google, ils exploiteraient un réseau de cybercriminalité structuré, appuyé par le groupe Lemon et d’autres acteurs tels que MoYu. Contrairement aux malwares classiques diffusés via des applications malveillantes, BadBox 2.0 serait préinstallé dans le firmware d’appareils Android low-cost dès leur sortie d’usine. Les cibles ? Des box TV, projecteurs, tablettes et systèmes d’infodivertissement embarqués fonctionnant sous AOSP, sans certification Android TV ni Google Play Protect.
Une fois connectés à Internet, ces appareils deviennent des nœuds d’un botnet mondial servant à des activités frauduleuses : proxy résidentiel, fraude publicitaire, déploiement de rançongiciels ou encore attaques DDoS. Selon les chiffres publiés par Google, la majorité des infections se trouvent au Brésil, aux États-Unis, au Mexique et en Argentine. Le code malveillant Triada, détecté dans les firmwares, permet aux attaquants d’avoir un contrôle total sur les appareils infectés.
Illustration : www.humansecurity.com
Des vulnérabilités critiques dans AOSP
Selon Cybernews, la propagation de BadBox 2.0 s’est appuyée sur plusieurs vulnérabilités connues dans les versions 12 à 14 d’Android. Parmi elles, les failles CVE-2024-32896 et CVE-2024-40658, identifiées comme critiques, permettent une élévation de privilèges sans interaction avec l’utilisateur. Bien que Google ait diffusé des correctifs via l’AOSP et son bulletin de sécurité de septembre 2024, de nombreux fabricants ne mettent pas leurs appareils à jour, notamment dans l’écosystème AOSP non certifié.
Google recommande aux utilisateurs de vérifier le niveau de patch de sécurité dans les paramètres et d’activer Play Protect si l’appareil le permet. Le sideloading d’applications hors Play Store est également fortement déconseillé.
Un recours judiciaire symbolique ?
L’entreprise américaine entend faire cesser les activités des opérateurs du botnet, mais les chances d’exécution sont minces : les auteurs présumés étant basés en Chine, toute procédure d’extradition reste très improbable. Cette action vise néanmoins à documenter publiquement les méthodes du réseau et à envoyer un message aux revendeurs et fabricants d’équipements embarquant Android open source sans les sécuriser.
Ce cas rappelle l’importance cruciale du suivi de sécurité dans l’écosystème Android AOSP. Si l’open source permet la réutilisation libre du système, il ne garantit pas une maintenance ni une supervision de la sécurité. Des chaînes d’approvisionnement non vérifiées et l’absence de contrôles de signature dans les firmwares offrent une surface d’attaque critique pour les acteurs malveillants.Google, en tant que principal contributeur à l’AOSP, appelle à une responsabilisation des fabricants et des distributeurs. Et peut-être, aussi, à une gouvernance plus forte autour de l’open source dans l’univers Android.
