Sebuah jaringan botnet masif yang mencakup lebih dari 1,3 juta perangkat Android, terutama unit set-top box TV, kehilangan kendali atas server operasionalnya pada akhir Oktober menyusul operasi penindakan terkoordinasi yang dipimpin Google.
Google meyakini produsen perangkat keras Videostrong secara sengaja menyematkan pintu belakang rahasia (backdoor) ke dalam unit set-top box tersebut, lalu menjual aksesnya kepada sindikat kejahatan siber.
Para pelaku kejahatan mengeksploitasi kotak TV pintar tersebut untuk menjalankan penipuan iklan digital (ad fraud) berskala luas, serta mengalihkan lalu lintas internet pihak luar secara diam-diam melalui sambungan jaringan rumah tangga pengguna. Komponen backdoor jahat ini masih tertanam di perangkat keras, dan pemilik unit tidak mampu menghapusnya secara manual.
Videostrong, korporasi manufaktur yang berkantor pusat di Shenzhen, China, memproduksi kotak Android TV di bawah jenama miliknya sendiri maupun label pihak ketiga. Pintu belakang berkode x.cpe tersebut sengaja ditanam ke dalam puluhan model perangkat dan beragam merek selama bertahun-tahun. Google menegaskan insiden ini bukan akibat kelalaian internal atau kekeliruan pemrograman.
Guna melumpuhkan jaringan tersebut, Google menempuh jalur hukum untuk merebut dan mematikan domain internet serta server sentral pengendali botnet. Google juga merobohkan domain pengontrol milik belasan varian malware lain yang dipasang paksa melalui backdoor x.cpe. Badan Kepolisian Nasional Jepang (National Police Agency), bersama Lumen, HUMAN Security, Plume, Synthient, dan TrendAI, turut bekerja sama dalam operasi ini.
Karena sindikat kriminal di balik malware tersebut juga menyebarkan muatan berbahaya lewat jalur distribusi lain, Google memproyeksikan tindakan ini memutus rute kendali ke sedikitnya 10 juta unit perangkat terinfeksi tambahan di seluruh dunia. Namun, Google memperingatkan operator backdoor dan pembelinya sangat lincah beralih ke peralatan peretasan alternatif saat infrastruktur dilumpuhkan.
Google telah memutuskan seluruh hubungan kemitraan dengan Videostrong. Google resmi mencekal korporasi tersebut, termasuk anak perusahaan maupun afiliasinya di masa mendatang, dari hak merancang atau memasarkan perangkat Android bersertifikasi resmi, sekaligus melarang memasok perangkat lunak ke pabrikan berlisensi lainnya.
Cara Kerja dan Bahaya Pintu Belakang x.cpe
Berdasarkan analisis teknis Google, x.cpe beroperasi menyamar sebagai aplikasi sistem inti di dalam firmware dengan hak akses penuh tingkat sistem. Modul jahat ini melapor ke server command-and-control (C2) botnet untuk menanti instruksi. Agar dapat menginstal perangkat lunak siluman, sistem ini mematikan fungsi pemindaian Google Play Protect.
Melalui akses backdoor tersebut, operator pengendali botnet leluasa memasang aplikasi tambahan tanpa izin, mengeksekusi rentetan perintah arbitrary, merekam tangkapan layar, hingga memetakan topologi jaringan lokal.
Google menyaksikan operator Videostrong mengeksploitasi wewenang tersebut dengan mengambil tangkapan layar berkala, mengirimkan data ketukan keyboard, mengekstrak rincian kredensial akun, mengumpulkan spesifikasi perangkat, menyalin katalog aplikasi dan log aktivitas, serta membuka reverse shell untuk akses remote command line penuh.
Sebagian besar muatan yang diunduh melalui pintu belakang ini mengubah perangkat menjadi jaringan residential proxy atau menjual sisa kapasitas bandwidth pengguna tanpa izin. Layanan residential proxy mengomersialkan akses koneksi rumahan kepada pihak luar agar lalu lintas data tampak berasal dari warga biasa. Modul program lainnya dimanfaatkan untuk memalsukan impresi iklan daring demi keuntungan finansial.
Meski mayoritas unit terpapar adalah Android TV box, backdoor ini juga ditemukan aktif pada perangkat telemedisin layanan kesehatan, mesin karaoke elektronik, hingga layar digital signage komersial.
TrendAI mendata 1.472.554 unit perangkat terinfeksi pada 206 varian model berbeda antara 3 Juni hingga 1 Oktober, seraya menegaskan jumlah riil di lapangan jauh lebih masif. Persebaran infeksi tertinggi tercatat di Malaysia, Brasil, Irak, Meksiko, dan Taiwan. Sedangkan Amerika Serikat, Jerman, Inggris Raya, Australia, dan Kanada masing-masing mendeteksi 26.000 sampai 42.000 unit terinfeksi.
Langkah dan Panduan Penting bagi Pemilik
Firma riset Synthient menerbitkan daftar 182 nama model perangkat yang teridentifikasi dalam kampanye serangan ini, dengan catatan nama model saja belum tentu menjadi jaminan mutlak perangkat disusupi.
Laporan Synthient menitikberatkan perhatian pada perangkat bermerek MECOOL, yang memiliki relasi kepemilikan langsung dengan Videostrong. Synthient membeli unit MECOOL KM9PRO Max dan mendapati backdoor tersebut sudah terpasang sejak dari pabrik. Sementara itu, Plume menemukan belasan perangkat berbeda yang berkomunikasi aktif dengan server pengendali botnet, sebagian besar diproduksi oleh MECOOL.
Karena x.cpe tertanam langsung di dalam komponen firmware internal, penghapusan konvensional terbukti sia-sia. Program jahat otomatis terpasang ulang begitu perangkat dinyalakan kembali. TrendAI menjelaskan backdoor ini beroperasi sebagai aplikasi sistem yang ditandatangani memakai kunci kriptografi resmi vendor, sehingga pemulihan mutlak memerlukan tindakan vendor, perlindungan platform, atau penggantian fisik perangkat secara total.
Plume menganjurkan reset pabrik menyeluruh karena modul sebelumnya mungkin menyuntikkan pintu belakang tambahan, meski reset tidak dijamin sanggup memusnahkan x.cpe seutuhnya. Di sisi lain, Synthient merekomendasikan konsumen membuang kotak TV tersebut secara permanen ke tempat sampah.
Bagi kalangan korporasi dan organisasi, Synthient merekomendasikan tahapan mitigasi proteksi jaringan yang ketat. Di samping itu, TrendAI mengimbau perusahaan dengan sistem kerja jarak jauh memandang perangkat konsumen tanpa kelolaan di rumah sebagai bagian rentan perimeter serangan siber, serta wajib membatasi akses internal hanya lewat perangkat kerja kelolaan resmi tim IT.
Proses Pengungkapan Keterlibatan Videostrong
Dalam penjelasan resmi Google, kode x.cpe meneruskan konfigurasi operasional server C2 ke aplikasi-aplikasi lain buatan Videostrong, termasuk software pemutar media YokaTV Player. Selain itu, repositori GitHub publik yang menyimpan muatan botnet menggunakan identitas profil yf-videostrong.
Synthient menyimpulkan dengan keyakinan tinggi bahwa Videostrong mengendalikan seluruh operasi tersebut. Kesimpulan ini diperkuat temuan dokumen yang ditandatangani direktur R&D Videostrong di direktori terbuka server botnet, serta adanya domain resmi Videostrong yang berbagi alamat IP identik dengan panel kontrol pengelola botnet.
Penyelidikan Plume mempertegas bahwa Videostrong tidak hanya memproduksi firmware dasar, melainkan juga secara aktif menyediakan perkakas pengendali remote untuk mengoperasikannya dari jarak jauh.
Celah Pengujian Perangkat pada Ekosistem Google
Google mewajibkan seluruh produsen Android lolos serangkaian sertifikasi kompatibilitas dan keamanan ketat. Namun, Videostrong sengaja menyamarkan kodenya demi memanfaatkan celah kelemahan dalam pengujian, yakni baru mengunduh muatan berbahaya setelah perangkat melakukan booting pertama kali di tangan pengguna.
Menyikapi hal tersebut, Google merombak sistem peninjauan internal serta memperketat pengawasan keamanan firmware pada seluruh produk Android TV bersertifikasi resmi.
Hingga 2 November, portal web resmi Videostrong masih memajang produk yang diklaim sebagai “Google Certified Android TV Box” maupun “Google Certified Android TV Stick.”
Plume mencatat botnet ini menginfeksi bauran perangkat bersertifikasi resmi Google maupun perangkat Android Open Source Project (AOSP), kendati laporan publik Google tidak memerinci persentase unit bersertifikasi yang terdampak. Situasi ini berbeda dari peristiwa hukum gugatan Google terhadap komplotan botnet BadBox 2.0 pada Juli 2025 lalu, di mana 10 juta unit gawai yang terlibat seluruhnya merupakan perangkat tanpa sertifikasi resmi.
