Un TV stick bon marché ressemble à un raccourci inoffensif: HDMI, Wi-Fi, une vieille télé remise en service et une promesse de moins payer. La version moins confortable est que certains de ces appareils peuvent vendre un autre produit: votre connexion internet domestique.

TV streaming stick bon marché envoyant home network traffic vers des cloud nodes inconnus

Le dernier signal vient de KrebsOnSecurity et d’un rapport technique de Bitsight signé Pedro Falé. Bitsight a étudié une opération appelée Fuyao Enterprise, reliée dans le rapport à Fengwo Group et Zhejiang Fengwo IoT Technology Co., Ltd. L’enquête décrit des Android TV boxes, dont des appareils H96 observés dans la télémétrie, capables de servir à la fois de residential proxy traffic et d’ad fraud.

Pour l’acheteur, la question est simple. Si un streamer promet “free TV”, “no subscription” ou des chaînes premium illimitées pour un paiement unique, il faut se demander quel business model reste après la vente du boîtier. La réponse peut être votre IP address, votre bandwidth et le temps machine de l’appareil.

Bitsight dit avoir analysé 24 heures de logs liés à un sinkholed backend domain: 65,957 device reports, environ 38,000 unique MAC addresses après filtrage des Fuyao apps. Krebs rapporte que beaucoup de ces appareils se déclaraient comme des téléphones Samsung, Vivo, Huawei ou Xiaomi, alors qu’il s’agissait de Android TV boxes. Cette spoofed phone identity rendait le trafic publicitaire plus crédible comme mobile ad traffic.

Le détail technique est étrange, mais parlant. Bitsight décrit des AI-generated websites, du matching de profils mobiles et des interactions automatiques avec les annonces. Le rapport parle aussi d’un custom Blockly-style task editor permettant de construire visuellement des fraud routines. Côté consommateur, cela veut dire que le boîtier peut devenir un petit worker dans une activité proxy et publicitaire.

Krebs mentionne un autre point: les boxes semblaient changer de rôle. Quand le HDMI signal indiquait que la télévision était allumée, l’appareil servait plutôt de residential proxy service. Quand la TV était éteinte, il attendait des ad-fraud jobs. Bitsight estime presque $50,000 par jour de ad-fraud revenue depuis cette vue, sans compter residential-proxy revenue, et qualifie l’estimation de conservatrice.

Cela ne prouve pas que tous les Android boxes bon marché sont compromis. “H96” désigne un ensemble confus de modèles, clones et rebrands. Mais la conclusion pratique tient: un TV box anonyme peut arriver avec un firmware et des apps préinstallées que l’acheteur ne peut ni auditer, ni mettre à jour, ni rattacher à un fournisseur responsable.

C’est donc bien une histoire de gadgets. L’achat se fait pour une chambre, une location, la télévision d’un parent, une salle de classe, un café ou une chambre d’enfant. Puis l’appareil se retrouve sur le même réseau que phones, laptops, printers, work machines, NAS drives et smart-home gear. Il n’est pas seulement branché à la TV; il est branché à la maison.

Le pitch suspect est reconnaissable: no-name Android TV box, “fully loaded”, “unlimited channels”, “live sports”, “all movies”, “Android 14/15 TV box”, mais pas de mention claire d’Android TV OS certifié ou de Google TV. Si l’installation demande des APKs inconnus ou promet des chaînes payantes sans payer les ayants droit, ce n’est pas une bonne affaire. C’est un signal d’alarme.

Un appareil officiel Android TV ou Google TV n’est pas parfait, mais il suit une certification path, a un Play Protect status, un app store connu, des attentes de updates et un vendeur identifiable. Google explique que les appareils Play Protect certified incluent des proprietary apps sous licence Google et ont passé Android compatibility testing. Cela ne supprime ni ads ni tracking, mais crée un minimum d’accountability.

Les streamers de marque ont leurs défauts. Roku, Fire TV, Google TV, les smart TVs et les apps imposent souvent ads, tracking, lock-in et hausses de prix. Ars Technica a rapporté le 24 juillet que Roku avait augmenté certains prix jusqu’à 60 percent, avec le Streaming Stick passant de $30 à $40 et le Roku Ultra de $100 à $150. Dans ce contexte, la boîte “sans abonnement” devient plus tentante.

La bonne réponse n’est pas d’acheter le plus cher. Vérifiez plutôt la marque, l’historique du modèle, la certification officielle ou une plateforme connue, l’app store, la politique de updates, le retour produit et des reviews hors marketplace. Méfiez-vous des fiches floues, des promesses impossibles et des vidéos d’influenceurs qui vendent une échappatoire trop parfaite.

Si vous possédez déjà un de ces boxes, traitez-le comme non fiable. Déconnectez-le s’il consomme trop de bandwidth, affiche des publicités hors des apps, installe des logiciels inconnus ou garde des outbound connections au repos. Factory reset peut ne pas suffire si le problème se trouve dans le firmware ou les system apps. Pour tester, utilisez un guest network ou une IoT VLAN isolée.

Les petites organisations devraient être encore plus prudentes. Un boîtier bon marché derrière un écran de menu, de hall ou de classe peut utiliser l’IP de l’entreprise pour du trafic tiers. Il peut aussi voir une LAN plus sensible qu’un simple salon.

Les alternatives existent. Apple TV coûte plus cher mais offre généralement un long support. Les Google TV streamers et appareils Android TV certifiés ont une route de confiance plus claire. Roku et Fire TV sont simples, avec leurs écosystèmes ads/account. Nvidia Shield reste capable, mais ancien. Walmart Onn peut être un choix budget raisonnable. Raspberry Pi avec LibreELEC ou un mini-PC est propre pour le média local, mais les services commerciaux et le DRM compliquent parfois les choses.

La règle utile est simple: ne placez pas un unknown computer sur votre home network simplement parce qu’il a un HDMI plug. Un TV box peut run code, open connections, spoof identities et déplacer du trafic. Avant l’achat, demandez qui le met à jour, qui gagne de l’argent avec lui et ce qu’il fait quand la télévision est éteinte.

Le meilleur streamer n’est pas toujours le moins cher, le plus rapide ou le plus ouvert. C’est celui dont vous comprenez le vendor, le software path et le business model. Si l’économie de l’offre paraît impossible, la subscription manquante est probablement payée ailleurs.