Les boîtiers SuperBox promettent un accès simple à un vaste catalogue de contenus depuis un téléviseur. Mais derrière cette fonction de streaming se cache un risque nettement moins visible. Une enquête de Plume Security Labs montre que certains de ces appareils Android peuvent transformer la connexion Internet du foyer en proxy résidentiel, faisant transiter des requêtes de tiers par l’adresse IP de leur propriétaire, sans consentement explicite.
SuperBox commercialise des lecteurs multimédias basés sur Android, notamment aux États-Unis, avec une promesse axée sur l’accès à de nombreuses chaînes et contenus sans abonnement récurrent. La gamme se distingue des boîtiers Android TV classiques par son écosystème logiciel et sa boutique d’applications propriétaire, deux éléments qui se retrouvent aujourd’hui au cœur des interrogations de sécurité soulevées par Plume.
Un boîtier de streaming qui peut devenir un relais Internet
La première enquête de Plume Security Labs, publiée le 28 mai 2026, a identifié dans une application proposée sur les boîtiers SuperBox un composant baptisé Popanet. Intégré notamment à Cyberflix TV, ce logiciel peut enregistrer l’appareil auprès d’une infrastructure distante et l’intégrer à un réseau de proxy résidentiel.
A relire : QR Code Wi-Fi : la méthode simple pour connecter un smartphone au Wi-Fi sans saisir le mot de passe.
Se connecter au Wi-Fi chez des amis, dans une location ou dans une petite entreprise implique souvent la même étape : retrouver puis saisir une longue clé de sécurité. Avec un QR…
Concrètement, des connexions Internet appartenant à des tiers peuvent alors sortir sur Internet via la box et l’adresse IP publique du foyer. Pour le site ou le service interrogé, le trafic ressemble donc à celui d’un utilisateur résidentiel classique.
Plume indique avoir observé des dizaines de milliers de connexions sortantes par appareil et par jour vers des milliers de destinations différentes.
Pourquoi les proxys résidentiels intéressent les cybercriminels
Une adresse IP résidentielle possède généralement une meilleure réputation qu’une adresse issue d’un centre de données. Elle peut donc permettre de passer sous certains systèmes de détection chargés de bloquer les connexions suspectes ou automatisées.
Selon les observations de Plume, le trafic relayé peut notamment concerner du scraping automatisé, des tentatives de contournement de systèmes de sécurité ou des opérations impliquant des identifiants et des codes de vérification. L’adresse IP visible par le service ciblé est alors celle du propriétaire du boîtier, et non nécessairement celle de l’auteur réel de la requête.
Pour l’utilisateur, le problème ne se limite donc pas à une éventuelle consommation de bande passante : la réputation de son adresse IP peut aussi être affectée par des activités qu’il ne contrôle pas.
Des protections Android largement affaiblies
Le fonctionnement du proxy n’est pas le seul sujet soulevé par l’analyse. Les chercheurs décrivent également une configuration Android dans laquelle plusieurs barrières de sécurité habituelles sont désactivées.
Les boîtiers SuperBox concernés peuvent notamment contourner la vérification des signatures des applications, les restrictions concernant les sources inconnues, certaines demandes de permissions et l’analyse réalisée par Google Play Protect. Des applications distribuées par la boutique propriétaire peuvent en outre disposer de privilèges système particulièrement importants.
Ces choix réduisent fortement les protections normalement destinées à empêcher l’installation silencieuse de logiciels non vérifiés.
ADB et accès root aggravent le risque
Autre particularité relevée : l’interface Android Debug Bridge, ou ADB, peut rester accessible tandis que la commande permettant d’obtenir les privilèges root ne demande pas d’authentification.
Cette combinaison est sensible. Un logiciel ou un intervenant ayant accès au canal approprié peut potentiellement exécuter des commandes avec des droits très élevés, installer un APK supplémentaire ou modifier le fonctionnement du boîtier.
Le routeur domestique ne constitue pas nécessairement une protection suffisante. Le logiciel de proxy établit lui-même une connexion sortante vers son infrastructure distante et conserve ce canal actif. Le trafic peut ainsi traverser le routeur sans prendre la forme d’une connexion entrante classique vers ADB.
Du proxy résidentiel à l’installation d’autres malwares
C’est ici qu’une distinction importante s’impose. La présence d’un proxy résidentiel est directement documentée par les recherches de Plume. Cela ne signifie pas pour autant que chaque appareil concerné appartient automatiquement à un botnet.
Le second volet de l’enquête, publié le 31 août 2026, montre toutefois que des appareils déjà exposés par cette architecture peuvent ensuite recevoir d’autres logiciels malveillants. Les chercheurs ont notamment observé des tentatives liées à des agents de proxy supplémentaires et à des familles pouvant intégrer l’appareil à des réseaux utilisés pour des attaques DDoS.
Lors d’une expérience menée pendant plus de trois semaines, un honeypot mis en place par les chercheurs a enregistré 1 352 tentatives visant des ports ADB à travers le réseau de proxy étudié.
SuperBox et BadBox 2.0 : attention aux amalgames
Le rapprochement avec BadBox 2.0 est tentant, car cette campagne repose elle aussi sur des appareils Android et IoT compromis pouvant fournir des services de proxy résidentiel.
En juin 2025, le FBI avait alerté sur BadBox 2.0, un botnet comprenant des millions d’appareils infectés, dont des boîtiers de streaming, projecteurs et autres produits connectés. L’agence américaine expliquait que certains appareils pouvaient être compromis avant leur achat ou après installation d’applications issues de boutiques non officielles.
Cela ne permet cependant pas d’affirmer que les boîtiers SuperBox étudiés par Plume font systématiquement partie de BadBox 2.0. Proxy résidentiel, infection secondaire et appartenance à un botnet doivent être considérés comme des mécanismes distincts.
Que faire si un SuperBox est connecté chez vous ?
La mesure la plus prudente consiste à déconnecter l’appareil du réseau lorsque son niveau de confiance ne peut pas être établi.
Une isolation sur un réseau Wi-Fi invité ou un VLAN peut limiter son accès aux ordinateurs, NAS, imprimantes et autres équipements du foyer. Elle ne neutralise toutefois pas forcément le proxy lui-même : le boîtier peut toujours disposer d’un accès à Internet.
Pour les boîtiers SuperBox concernés par les recherches de Plume, le risque provient précisément de la combinaison entre logiciel proxy, privilèges élevés et protections Android réduites.
Ce qu’il faut retenir
Certains boîtiers SuperBox étudiés par Plume peuvent utiliser la connexion Internet du propriétaire comme proxy résidentiel à son insu. Le trafic de tiers apparaît alors sous l’adresse IP du foyer. Une configuration Android peu restrictive et la présence d’ADB avec des privilèges root augmentent en parallèle la surface d’attaque. Les recherches les plus récentes montrent enfin que cette exposition peut faciliter l’installation de logiciels malveillants supplémentaires.
Positionnement sur le marché
SuperBox appartient à la catégorie des boîtiers multimédias Android proposant une expérience plus ouverte que les plateformes traditionnelles comme Apple TV, Google TV, Fire TV ou Nvidia Shield.
La différence essentielle n’est toutefois pas uniquement matérielle. La sécurité de la chaîne logicielle, les sources utilisées pour télécharger les applications et les droits accordés à ces dernières deviennent des critères déterminants. Un boîtier multimédia connecté en permanence dispose en effet du même accès au réseau domestique que beaucoup d’autres objets connectés.
FAQ : SuperBox et proxy résidentiel
Un boîtier SuperBox peut-il réellement utiliser ma connexion Internet ?
Oui, les recherches de Plume ont confirmé que des appareils équipés de certaines applications pouvaient être intégrés à un réseau de proxy résidentiel. Une partie du trafic de tiers est alors relayée via la connexion du propriétaire.
À quoi sert un proxy résidentiel ?
Il permet à un client distant d’utiliser une adresse IP appartenant à une connexion Internet résidentielle. Cela peut avoir des usages légitimes, mais aussi servir à contourner des systèmes antifraude, automatiser des requêtes ou masquer l’origine réelle d’une activité.
SuperBox fait-il partie du botnet BadBox 2.0 ?
Les recherches citées ici ne permettent pas d’affirmer que tous les SuperBox sont membres de BadBox 2.0. Le FBI décrit BadBox 2.0 comme une campagne plus large touchant plusieurs catégories d’appareils Android et IoT.
Pourquoi l’accès root est-il problématique ?
Le root donne des privilèges administrateur étendus sur Android. Associé à une interface ADB accessible et à des contrôles logiciels désactivés, il peut faciliter l’installation silencieuse d’applications ou la modification du système.
Un réseau Wi-Fi invité suffit-il à protéger le foyer ?
Il peut empêcher le boîtier d’accéder directement à plusieurs équipements du réseau principal. En revanche, il ne garantit pas l’arrêt du proxy : l’appareil conserve généralement sa propre connexion à Internet.
Faut-il débrancher un boîtier concerné ?
C’est la mesure qui supprime directement son accès au réseau. Le FBI recommande également d’envisager la déconnexion des appareils IoT suspects lorsqu’ils présentent des signes de compromission.
Récapitulatif technique
- Système : Android modifié
- Fonction identifiée : proxy résidentiel
- Composant étudié : Popanet intégré à certaines applications
- Accès système : privilèges root possibles
- Interface sensible : ADB
- Protections affectées : vérification des signatures, contrôles d’installation et Play Protect
- Risque réseau : trafic tiers relayé via l’adresse IP domestique
- Risque secondaire : installation potentielle d’autres proxys ou malwares
- Protection recommandée : déconnexion ou isolation réseau
En résumé
Certains boîtiers SuperBox peuvent transformer une connexion domestique en proxy résidentiel sans que l’utilisateur en ait clairement conscience. Les recherches de Plume montrent également que la configuration de ces appareils peut faciliter des infections supplémentaires. Un proxy ne doit toutefois pas être automatiquement assimilé à un botnet ou à BadBox 2.0. La déconnexion de l’appareil reste la mesure de protection la plus directe.
Retrouver tous les articles de Planet Sans fil sur Google News. Vous y trouverez notre actualité, nos tests en un seul clic.
Soyez le premier à laisser un commentaire commenter "Boîtiers SuperBox : votre connexion Internet peut servir de proxy résidentiel à votre insu"