Google vient de publier
un long rapport technique
dans lequel il explique comment il vient de démanteler XCPE, un botnet de plus de 1,3 million d'appareils Android, contenant surtout des box TV, qui sous louaient en douce la connexion de leurs propriétaires à des services de proxys résidentiels et servaient à faire de la fraude publicitaire. Le pire c'est que ce malware n'a pas été ajouté par un pirate mais était implanté directement dans le firmware, posé là par Videostrong, un fabricant chinois qui revendait ensuite l'accès aux box à des affiliés.
Google a donc attaqué en justice les domaines et les serveurs qui pilotaient le botnet, avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Plume, Synthient et TrendAI, puis il a banni Videostrong, ainsi que ses futures filiales, de la fabrication d'appareils Android certifiés. Pour passer les tests de certification, le fabricant avait masqué son code malicieux et attendu ensuite le premier démarrage de l'appareil pour le charger discrétos. La faille a été corrigée par Google depuis...
Mais et les box déjà vendues, alors ?
Hé bien
le billet de TrendAI
est cash patate, la coupure a privé l'opérateur de ses commandes, mais l'implant reste sur chaque box / TV, et son nettoyage passe par le fabricant, par la plateforme ou par le remplacement de l'appareil. Le propriétaire n'a pas la main !! D'après Google, x.cpe tourne avec les droits système depuis la partition firmware et, si on le désinstalle, il se réinstalle tout seul au redémarrage depuis la partition /oem, donc autant dire que les propriétaires de ces appareils l'ont dans l'os.
Car sans pilote au manettes, ça ne veut pas dire que le malware est devenu inoffensif. En effet,
Plume a épluché le code
et les ordres circulent en MQTT sans chiffrement, donc n'importe qui capable de publier une commande peut la faire exécuter par la box. Et comme le contrôle de mise à jour passe en HTTP avec un fichier XML non signé, celui qui détourne le DNS du serveur peut alors prendre la main sur l'appareil easy... Quand au module LinkFog présent sur les TV, celui-ci relance ses tâches tout seul au redémarrage, sans attendre le serveur. Puis surtout, ce genre d'opérateur mafieux est tout a fait capable de reconstruire son infra ailleurs sous une autre bannière et de récupérer son botnet quasiment intact...
Mais alors comment savoir si votre TV ou Box Android est impactée ? Car aucune marque spécifique n'a été citée comme étant à éviter, puisque Google a trouvé le malware intégré dans de nombreux modèles et marques. Cela représente tout de même 206 modèles répartis dans plus de 170 pays. La
liste publiée par Synthient
et le rapport de Plume citent par exemple des MECOOL, dont la KM2 et la KM9 Pro, et la Strong Leap-S1, et le parc mêle des appareils AOSP et des appareils certifiés Google, donc la certification ne suffit plus du coup à garantir une box saine.
Côté parade, Plume recommande un reset d'usine complet, parce que des modules ont pu déposer d'autres portes dérobées, alors que Synthient conseille de se débarrasser définitivement de ces box, jugées à haut risque de contenir d'autres malwares. À mon avis, le reset seul ne suffira pas, vu que x.cpe est dans le firmware et pas dans les données, donc l'option déchetterie, c'est aussi ce que je recommanderai malheureusement.
Et côté Google, les mesures annoncées sont la mise en place d'un bannissement du fabricant et des contrôles renforcés pour que ça ne se reproduise pas. On verra si ça a un impact ou si les escrocs trouvent une nouvelle faille dans leur processus de certification.
Breeef, en attendant, Synthient conseille de débrancher les appareils suspects et de changer le mot de passe du Wi-Fi. Si votre box est sur la liste, c'est le minimum, mais vu ce que ça peut faire, moi je ne la rebrancherais pas à votre place...
Selon Google, Videostrong a piégé 1,3 million de box Android TV pour les exploiter comme proxys résidentiels via le botnet XCPE. Voici ce que l'on sait.
Vous cherchez sur Google (ouais à l'ancienne) comment faire un peu de place sur votre ordi parce que votre disque est déjà plein. Et bizarrement, le premier résultat de recherche c'est une conversation partagée de ChatGPT hébergée sur le vrai site d'OpenAI, avec des étapes bien propres et une commande à coller dans le Terminal afin de libérer un peu d'espace disque.
Sauf que ce tuto, hé bien c'est pas un vrai tuto made in korben.info, non, c'est une conversation avec une IA sur un domaine légitime (chatgpt.com) qui va vous pousser à installer un affreux malware. Et n'allez pas croire que c'est de la science-fiction, c'est exactement ce qu'a vécu une victime dont les
analystes de Huntress
ont traité l'infection début décembre 2025. La commande présente dans ce tuto a installé AMOS, un voleur de données qui a dérobé son mot de passe admin, les droits root, et s'est incrusté sur l'ordi pour ensuite tout capter.
Source de l'image : Huntress
C'est l'attaquant lui-même qui a créé cette conversation, l'a partagée en mode public et ensuite l'a fait remonter dans Google avec un peu de SEO pour que ça ressorte dans les premiers résultats de recherche. Et la même combine a également été observée sur Grok.
Voilà, donc l'arnaque ici c'est que l'interface est authentique (c'est une vraie conversation), mais ce qu'elle raconte a été forgé par un cyber-escroc.
Et ça ce n'est qu'un exemple de toutes ces attaques boostées à l'IA qui commencent à se multiplier et qui sont très créatives !
Le piège de la commande à copier coller
Autre exemple, entre avril et juin 2026, dans ce
rapport de TrendAI
on découvre une campagne de pubs Google qui a d'abord mené vers de fausses pages de téléchargement, puis vers des conversations Claude partagées (dont l'une s'intitulait "Clearing disk space on macOS") et qui aurait fait +2000 victimes. Le scénario est à peu près le même avec un Terminal à lancer, une commande à coller, et le malware MacSync qui s'installe pour voler les "secrets" de l'utilisateur. Heureusement, Anthropic a banni les comptes et désactivé ces conversations dès que l'affaire a été découverte.
Source de l'image : TrendAI
De son côté,
ESET
, qui surveille énormément toutes ces attaques d'un nouveau genre, regroupe sous le nom d'AI-fix ces pages publiées sur le domaine d'un service d'IA, permettant de diffuser des virus. L'entreprise slovaque est même tombée sur une fausse pub Google Ads pour Homebrew menant à la catastrophe pour tous ceux qui s'aventuraient à recopier les commandes sur leur ordinateur. Apple a heureusement bien réagi de son côté puisque depuis macOS 26.4, le système analyse les commandes collées dans le Terminal avant de les exécuter. Ouf !
Toutefois,
Jamf Threat Labs
a documenté en avril une variante qui contourne le Terminal à l'aide d'une fausse page "pour récupérer de l'espace disque" (toujours le même sujet "appât") qui ouvre, quand on clique sur un bouton, l'Éditeur de scripts de macOS avec un script vérolé déjà chargé. Comme ça y'a rien à copier, mais juste à lancer... Argh !
Source de l'image : Jamf Threat Labs
Donc le réflexe ne change pas, hein... Si une commande ou un script sort d'une conversation, d'un forum ou d'une page web, même si ça vient de chez ChatGPT (SURTOUT si ça vient de ChatGPT), on ne l'exécute pas sans savoir ce qu'il fait !!
L'arnaque ClickFix
Sous Windows, c'est à peu près le même piège mais via une autre porte d'entrée. Quand vous avez un OS de Microsoft, la page vous demande également de copier et de coller une commande mais cette fois, au choix, dans la fenêtre Exécuter (Windows + R), dans Windows Terminal ou dans PowerShell. Microsoft décrit cette technique, baptisée ClickFix, dans
un billet de son blog sécurité
. Cette "arnaque" simule même parfois de faux captchas vous incitant à lancer des lignes de commande pour accéder au contenu. Et c'est sûr que quand on a l'habitude de zapper des captchas à la vitesse de l'éclair et qu'on ne connait rien en ligne de commande, la manip est vite faite malheureusement ! Bref, parlez-en autour de vous.
Les pages d'IA servent donc de décor là à tout ça.
Push Security
a même décrit en mai 2026 une fausse panne de ChatGPT, conçue à l'aide de la fonction de rendu de code et donc hébergée sur chatgpt.com. On n'y voit que du feu et ça renvoyait vers un faux site de téléchargement avec des boutons macOS et Windows histoire de récupérer les bonnes lignes de commande. Parfois, c'est même un GPT personnalisé avec lequel on peut discuter, hébergé sur ChatGPT.com et dont chaque réponse mène à une page qui sert un ClickFix.
Des liens et du code piégés
Pour les liens renvoyés par les IA, même si c'est moins spectaculaire, ça peut aussi faire des dégâts. Dans ce
billet de juillet 2025
, Netcraft raconte par exemple avoir testé un modèle de la famille GPT-4.1 en lui demandant l'adresse des pages de connexion de 50 marques, avec des phrases toutes bêtes du genre "j'ai perdu mon marque-page, où ce que je me connecte sur tel ou tel site".
Et sur les 97 domaines proposés, 34 % n'appartenaient pas à la marque, dont près de 30 % des domaines libres, parqués ou inactifs. Donc forcément récupérables par un escroc...
Et chez Perplexity, une attaque similaire a même été mise en place. Ainsi, quand on lui demandait l'adresse de connexion de Wells Fargo (c'est une banque), le premier lien menait à un faux site sur Google Sites qui captait les identifiants des brebis égarées. Bref, un lien de connexion, soit vous le tapez vous-même, soit vous le gardez au chaud dans vos marque-pages.
Et c'est la même histoire avec le code... Hé oui, par exemple, Netcraft a repéré une fausse API Solana, glissée dans des tutoriels et des dizaines de dépôts GitHub, qui a fini par atterrir dans les suggestions des assistants de code. Du coup, une fois l'API implémentée dans un vrai projet, les transactions partaient vers le portefeuille de l'attaquant. Au moins 5 victimes l'ont copiée dans leurs projets publics, dont certains développés avec des outils d'IA... Donc si votre assistant IA vous propose une API que vous ne connaissez pas, je vous recommande chaudement de la chercher dans la doc officielle avant de l'intégrer.
Les agents IA et leurs skills
Reste maintenant le cas des agents, ces IA qui lisent des pages et font des trucs à votre place. En août 2025,
Brave a montré
, via un proof of concept, qu'un commentaire Reddit, avec des instructions cachées derrière une balise "spoiler", suffisait à retourner la veste de
Comet, le navigateur à agent de Perplexity
. Dès que l'utilisateur demandait le résumé de la page, il récupérait son adresse e-mail sur Perplexity, déclenchait l'envoi d'un code de login 2FA, le lisait ensuite via Gmail et publiait le tout (email + code) en réponse au commentaire.
Source : Brave
Voilà, donc le réflexe, c'est de ne pas confier votre messagerie à un agent qui lit n'importe quelle page.
Et pour les skills, ces petits modules qu'on greffe à un agent, ESET dit en avoir analysé 900 000, dont 25 000 suspectes et plus de 3 000 clairement malveillantes. C'est pourquoi ils proposent un outil gratuit, l'
AI Skills Checker
, pour les passer au crible avant leur installation. Après, le minimum avec une skill, c'est au moins de regarder les permissions qu'elle demande et qui l'a écrite.
Et le phishing ça donne quoi ?
Quant au bon vieux phishing, hé bien il est juste devenu beaucoup moins cher à fabriquer. Dans
une étude sortie fin 2024
, sur 101 participants répartis en quatre groupes, des e-mails de spear phishing entièrement rédigés par IA ont réussi à obtenir 54 % de clics, contre 12 % pour du phishing traditionnel fait par des humains. En fait l'IA permet de viser plus de monde à moindre coût et surtout de personnaliser à grande échelle les contenus de phishing.
Donc dans le doute, si on vous demande de l'argent ou un code, même dans un message impeccable, renseignez-vous avant de cliquer ou de saisir des infos car après, c'est toujours trop tard.
Le filet de sécurité d'ESET
Voilà comme d'hab quand il s'agit de cybersécurité, tout se joue d'abord sur des réflexes à adopter... Mais quand le réflexe est absent, un logiciel peut venir à notre secours et nous servir de filet de sécurité. C'est pour cela qu'ESET propose dans
ESET Internet Security
une "AI Conversation Security" qui analyse chaque réponse de ChatGPT pour détecter si elle contient des sources douteuses et du code malveillant. Et si elle en trouve, elle vous prévient immédiatement.
Ça passe par une extension pour Chrome, Firefox, Edge et Brave et ça ne fonctionne qu'avec ChatGPT.
La page "Confidentialité et sécurité du navigateur" d'ESET affiche les quatre navigateurs pris en charge : Chrome, Firefox, Edge et Brave.
Je l'ai testé sous Windows 11 avec ESET Smart Security Premium 19 et Edge. La fonctionnalité s'appelle précisément "Sécurité des conversations IA" et pour voir si c'est efficace, j'ai demandé à ChatGPT de me sortir les liens vers un fichier de test EICAR et sa chaîne de caractères dans un bloc de code. Si vous ne connaissez pas EICAR, c'est une suite de caractères inoffensive qu'on utilise pour tester le bon fonctionnement des softs d'antivirus.
Et bien sûr, dans ma conversation, le bloc est passé en rouge avec une icône d'alerte, me disant que, je cite, "Cette réponse contient du code dangereux. Son exécution pourrait mettre votre système ou vos données en danger."
Montage de deux zones d'une même capture : l'infobulle d'ESET et le bloc de code marqué d'une icône d'alerte.
Reste qu'EICAR est un motif que tous les antivirus reconnaissent donc ça prouve que l'alerte fonctionne, mais pas qu'elle est infaillible, donc voyez ça comme un "deuxième regard" sur ce qui se passe dans votre chatbot préféré et pas comme un gilet pare-balles.
Le réglage "Analyse des conversations" dans l'extension d'ESET, ici activé.
Notez que cette fonction arrive aussi dans
ESET HOME Security Premium et Ultimate
, et dans
ESET Small Business Security
pour les TPE et les indépendants. Côté agents IA, ces offres d'ESET sont aussi capables de jeter un œil sur ce que l'agent s'apprête à faire, pour repérer ce qui serait louche avant que ça parte définitivement dans vos process. Ouf !
Bref, l'usage de l'IA par les cybercriminels n'aura jamais fini de m'étonner donc soyez très prudents et vigilants. Et n'hésitez pas à vous équiper d'
outils comme ceux d'ESET
pour assurer vos arrières.
PandoraBox est une borne libre de décontamination de clés USB, une « station blanche » : on insère une clé, la borne analyse chaque fichier avec plusieurs moteurs de détection, affiche les fichiers dangereux sur son écran tactile, puis les supprime quand l'utilisateur touche l'écran. La nouvelle version est une réécriture complète. Elle ne dépend plus du projet Pandora du CIRCL et elle est distribuée sous forme d'image système durcie, construite à partir de Debian 13. Le code est sous licence GPL-3.0 et le boîtier imprimable en 3D sous licence CERN-OHL-S v2.
Pourquoi une borne de décontamination
Les clés USB restent une porte d'entrée courante dans des systèmes d'information par ailleurs bien protégés. Les personnes changent d'organisation, utilisent des ordinateurs qui ne sont pas surveillés et vont sur des réseaux isolés. La borne de décontamination vérifie les objets avant qu’ils arrivent au poste de travail.
PandoraBox propose une solution ouverte, que tout le monde peut vérifier, pour remplacer les bornes du commerce. PandoraBox s’adresse aux lieux qui demandent plus de sécurité, comme les hôpitaux, les usines ou les bureaux de l’État. Elle tourne sur un petit ordinateur reconditionné avec un écran tactile, et fonctionne sans réseau.
Plus de détail sur cette nouvelle version dans la seconde partie de la dépêche.
La première version de PandoraBox s'appuyait sur Pandora du CIRCL pour analyser les fichiers. La nouvelle version repart d'une base propre et ne garde que ce qui fonctionnait : la machine à états, la détection USB avec pyudev, la quarantaine et l'interface curses du mode administrateur.
Les principaux changements :
les appels à pypandora sont remplacés par une chaîne de moteurs de détection intégrée ;
le moteur Comodo, qui n'est plus maintenu sous Linux, disparaît ;
le diaporama d'images (fim) laisse la place à une vraie interface graphique tactile ;
les clés sont montées en lecture seule par la borne elle-même, avec des options de montage durcies ;
les journaux passent au JSON structuré ;
la borne n'est plus un logiciel à installer sur un système existant, mais une image système complète.
Plusieurs moteurs de détection
Chaque fichier passe par plusieurs moteurs complémentaires :
MalwareBazaar propose des empreintes SHA-256 de logiciels malveillants connus.
Le service CIRCL Hashlookup aide à repérer les fichiers connus grâce à un filtre de Bloom.
Heuristiques : programmes déguisés en documents (double extension, type réel différent de l'extension), PDF avec JavaScript ou actions de lancement
La borne a un mode « fail closed » : si la borne ne peut pas analyser tout le fichier, comme pour une archive protégée par mot de passe, un fichier trop gros ou une erreur dans un moteur, la borne ne dit jamais que le fichier est sûr. Chaque partition de la clé est analysée, et une partition illisible (chiffrée, système de fichiers inconnu) rend la clé « non vérifiée ».
Rien n'est supprimé sans l'utilisateur : les fichiers dangereux sont listés à l'écran, copiés dans la quarantaine de la borne, puis retirés de la clé seulement après un appui sur l'écran. Chaque analyse donne un rapport JSON.
Une image système durcie
La clé USB pose un risque car la clé USB est vue comme un objet dangereux. Les moteurs d'analyse risquent d'être piratés. L'image est construite avec mkosi à partir des paquets Debian 13, et ne contient que ce qui sert à analyser :
chaîne de démarrage vérifiée : Secure Boot avec la clé de l'image enrôlée à la place de celles de Microsoft, image noyau unifiée (UKI) signée, système de fichiers racine EROFS en lecture seule protégé par dm-verity, noyau en mode lockdown ;
périphériques USB filtrés : USBGuard n'autorise que le stockage de masse, ce qui bloque les clés qui se font passer pour un clavier (BadUSB), et les pilotes réseau USB, Wi-Fi et Bluetooth sont retirés de l'image ;
aucune session : pas de compte, pas de programme login, pas de menu de démarrage ;
un bac à sable par moteur : chaque moteur tourne dans son propre processus, avec bubblewrap, un utilisateur dédié sans privilèges, un filtre seccomp et aucun accès réseau. Un moteur compromis par un fichier piégé ne peut pas falsifier le résultat d'un autre ;
pare-feu et réglages du noyau inspirés des recommandations de l'ANSSI pour les systèmes GNU/Linux. Lynis donne un indice de durcissement de 73, sans avertissement.
L'interface graphique est dessinée avec Pillow directement dans le framebuffer, sans serveur d'affichage ni navigateur.
Mises à jour signées et maintenance sans session
La borne fonctionne hors ligne par défaut. Tout ce qui la modifie arrive signé :
Les signatures : le logiciel vérifie un jeu de signatures signé Ed25519 à chaque démarrage. Il s'installe depuis une clé USB de mise à jour, qui n'est jamais analysée, ou en ligne avec le profil online de l'image. Sans jeu valide, la borne n'analyse rien. Un jeu plus ancien est refusé ;
Le système accepte les mises à jour A/B avec systemd-sysupdate, par clé USB ou en ligne. La nouvelle version est écrite dans l'emplacement libre, et après 3 démarrages ratés, systemd-boot revient à la version précédente ;
journaux : une clé de maintenance signée récupère les journaux de la borne (journal systemd, noyau, USBGuard, matériel) sans ouvrir de session et sans rien modifier.
Une borne en ligne peut aussi envoyer ses journaux à un SIEM (Wazuh, Elastic, Graylog, Splunk) en syslog RFC 5424 ou en JSON, sur TLS. En ligne, seuls le service de mise à jour, l'export SIEM et NTP peuvent sortir à travers le pare-feu. La borne elle-même n'a toujours pas accès au réseau.
Matériel et interface
La borne de référence est un Lenovo ThinkCentre M720q Tiny reconditionné (Core i5-9400T, 6 cœurs), avec un écran tactile Waveshare de 7 pouces (1024x600). L'image fonctionne sur tout ordinateur x86_64 UEFI, avec 2 Go de mémoire au minimum. Le boîtier de bureau s'imprime en 3D en une seule pièce.
L'interface est pensée pour le tactile, sans bouton : attente d'une clé, progression de l'analyse, liste des fichiers dangereux, appui n'importe où sur l'écran pour nettoyer, puis résultat. Chaque organisation peut y mettre son logo, ses couleurs, ses textes et sa langue (français et anglais fournis).
L'image est testée de bout en bout dans une machine virtuelle QEMU/KVM. Le test démarre l'image avec Secure Boot, insère des clés USB émulées (vfat, exFAT, NTFS, ext4), vérifie le verdict de chaque moteur, le nettoyage, les mises à jour et le retour à la version précédente.
État du projet
Le projet est en développement actif. L'analyse marche bien. L'image durcie fonctionne comme attendu. L'interface tactile répond comme il faut. Les mises à jour passent sans souci. L'export SIEM est validé. Le matériel de référence a permis de tout vérifier.
Une limite importante reste à lever : l'image et les jeux de signatures ne sont signés pour l'instant qu'avec des clés de développement, générées sur la machine qui construit l'image. Les clés de publication du projet et leur stockage ne sont pas encore définis.
analyse des macros Office avec oletools et des exécutables avec capa ;
désarmement et reconstruction de contenu (CDR) avec Dangerzone ;
serveur central facultatif : inventaire des bornes, rapports, état des signatures ;
modèle de menace documenté, fuzzing des points d'entrée et audit de sécurité externe ;
correspondance avec les exigences NIS2 et ISO 27001 (mesure 7.10 « Supports de stockage »).
Essayer et contribuer
Il suffit de Docker pour construire l'image et la tester dans une machine virtuelle :
git clone https://github.com/sourcentis/pandora-box.git
cd pandora-box
image/build.sh # construit l'image
image/build-test.sh && image/vm.sh test# la teste dans une machine virtuelle
Les contributions sont les bienvenues : retours d'expérience sur d'autres matériels, règles de détection, traductions de l'interface, revue de sécurité. Les vulnérabilités se signalent selon la politique de sécurité.
Source de l'image : Huntress
Source de l'image : TrendAI
Source de l'image : Jamf Threat Labs
Source :
Source : Brave
