Si vous avez récemment cherché à acheter une clé de streaming, vous les avez sûrement vues : des boîtiers Android TV génériques aux noms comme H96, T95 ou X96, vendus à un tiers du prix d'un Roku ou d'un Chromecast, souvent avec des caractéristiques techniques qui semblent invraisemblablement bonnes pour ce prix. Il vaut la peine de s'arrêter sur cet écart avant d'acheter, car des chercheurs ont récemment montré exactement comment certains de ces appareils compensent la différence — et ce n'est pas grâce à des marges bénéficiaires plus faibles.

La société de sécurité Bitsight a enquêté sur l'une de ces familles d'appareils, les H96, après que le chercheur Pedro Falé a enregistré un nom de domaine expiré auquel les boîtiers continuaient de se connecter discrètement. Ce qu'il a découvert, comme l'a rapporté Krebs on Security, était un vaste réseau de fraude publicitaire : les appareils se faisaient secrètement passer pour des téléphones totalement différents — s'identifiant faussement comme des appareils Samsung, Vivo, Huawei ou Xiaomi — et utilisaient cette fausse identité pour cliquer sur des publicités présentes sur des sites générés par IA. Le résultat est de flouer les annonceurs et les marchands qui paient pour des impressions publicitaires et des clics qui n'ont jamais été effectués par une personne réelle sur un vrai téléphone. Cela s'ajoute à un risque déjà connu pour cette catégorie d'appareils : certains ont été utilisés pour louer discrètement la connexion internet domestique du propriétaire à des tiers, transformant votre adresse IP résidentielle en un proxy par lequel des inconnus font transiter leur propre trafic — un trafic sur lequel vous n'avez aucune visibilité ni aucun moyen de contrôle.

Pourquoi précisément les modèles bon marché

L'économie du secteur explique ce comportement. Un appareil Android TV légitime — un Chromecast, une Nvidia Shield, un boîtier Google TV ou Fire TV officiel — est tarifé pour générer des revenus sur le matériel, la boutique d'applications ou un écosystème d'abonnement, et il passe par un processus de certification du fabricant avant sa commercialisation. Un boîtier sans marque, vendu à une fraction de ce prix et sans entreprise reconnaissable derrière lui, doit trouver sa marge ailleurs. Si le prix de vente ne couvre pas raisonnablement la fabrication, l'expédition et un profit, c'est qu'autre chose est monétisé après la vente — et votre bande passante réseau ainsi que l'identité de votre appareil sont les candidats évidents, car elles sont à la fois invisibles pour vous et précieuses pour les opérateurs de fraude publicitaire et de location de proxys.

Ce qu'il faut vérifier avant d'acheter

  • Recherchez un fabricant réel et responsable. Les appareils Google TV, Roku, Amazon Fire TV, Nvidia Shield et Chromecast sont liés à une entreprise dotée d'un processus de certification et d'une réputation à préserver. Un boîtier vendu uniquement sous un numéro de modèle générique (H96, T95, MXQ, X96, et autres) via des annonces de marketplaces tierces n'a ni l'un ni l'autre.
  • Vérifiez la certification Google Play Protect. Google tient à jour une liste des appareils Android ayant passé ses tests de compatibilité et de sécurité Play Protect — vous pouvez rechercher un numéro de modèle avant d'acheter. Un appareil non certifié n'a fait l'objet d'aucun contrôle, ce qui représente une lacune importante pour un objet qui reste connecté à votre réseau 24 heures sur 24.
  • Lisez les avis en cherchant les bonnes plaintes. Avant que des chercheurs ne surprennent un appareil en train de faire quelque chose de malveillant, ce sont souvent les propriétaires qui remarquent les premiers des effets secondaires : une chaleur inexpliquée, un appareil qui ne semble jamais se mettre en veille, ou une consommation de données anormalement élevée pour un simple boîtier de streaming. Recherchez le numéro de modèle exact accompagné de mots comme « consommation de données », « toujours actif » ou « proxy » avant d'acheter, pas après.

Ce qu'il faut vérifier si vous en possédez déjà un

  • Consultez la liste des appareils de votre routeur pendant la nuit. La plupart des routeurs domestiques affichent la bande passante utilisée par chaque appareil connecté. Vérifiez ce que fait le boîtier de streaming à 3 heures du matin, quand personne ne regarde rien. Un trafic de téléversement constant, ou même un simple trafic, en provenance d'un appareil censé être inactif, est un signal d'alerte qui mérite d'être examiné.
  • Surveillez à qui il parle. Si votre routeur prend en charge les journaux de connexion, ou si vous utilisez un outil comme Pi-hole ou un logiciel similaire de journalisation DNS, cherchez si le boîtier contacte de manière répétée des domaines inconnus ou changeants, plutôt que la poignée d'adresses de services de streaming auxquelles on s'attendrait.
  • Placez-le sur un réseau séparé. La plupart des routeurs domestiques prennent en charge un réseau invité ou, sur du matériel plus avancé, un VLAN. Isoler les boîtiers de streaming et autres appareils IoT de vos téléphones, ordinateurs portables et partages de fichiers limite les dégâts si l'un d'eux se révèle malveillant — il ne peut pas faire transiter du trafic via des appareils qu'il ne voit pas, et une compromission ne livre pas le reste de votre réseau.

Si vous constatez un problème

Il n'existe aucun moyen fiable de « nettoyer » un appareil dont le firmware agit ainsi de manière délibérée — une réinitialisation d'usine ne supprimera pas un comportement intégré à l'image même du firmware, et il n'existe généralement aucun canal de mise à jour légitime pour corriger le problème, puisque le fabricant l'a conçu ainsi intentionnellement. Les options réalistes consistent à le débrancher et à cesser de l'utiliser, ou à le remplacer par un appareil certifié provenant d'un fabricant responsable. S'il est resté connecté à votre réseau principal pendant un certain temps, il est également conseillé de changer votre mot de passe Wi-Fi par la suite, au cas où il aurait eu l'occasion d'observer ou d'interagir avec d'autres appareils du même réseau.

L'habitude générale à conserver : considérez tout prix invraisemblablement bas sur un appareil toujours connecté comme une question à se poser, et non comme une bonne affaire — car si vous ne savez pas ce qui finance la réduction, il y a de fortes chances que ce soit vous.

Source : recherche de Bitsight sur les boîtiers Android TV H96, rapportée par Krebs on Security.