Sebuah jaringan botnet raksasa yang mencakup lebih dari 1,3 juta perangkat Android, sebagian besar berupa TV set-top box, kehilangan kendali atas server operasionalnya pada akhir Oktober menyusul aksi penindakan berskala global yang dipimpin oleh Google.
Pihak Google menyatakan keyakinan tinggi bahwa produsen perangkat keras, Videostrong, secara sadar menanamkan pintu belakang (backdoor) ke dalam perangkat TV box tersebut, lalu memperjualbelikan aksesnya kepada kelompok penjahat siber.
Para pelaku kejahatan siber memanfaatkan jutaan perangkat itu untuk penipuan periklanan online (ad fraud) serta meneruskan aliran trafik internet ilegal melalui koneksi internet rumahan milik pelanggan. Program backdoor berbahaya tersebut saat ini masih tertanam di dalam perangkat, dan para pemilik alat tidak memiliki opsi untuk mencopotnya secara mandiri.
Videostrong, manufaktur perangkat keras yang berbasis di Shenzhen, Tiongkok, memproduksi beragam Android TV box beserta unit digital lain menggunakan merek sendiri maupun untuk merek pihak ketiga. Program pintu belakang berlabel x.cpe ini telah dimasukkan langsung ke berbagai varian model dan merek selama beberapa tahun terakhir. Google menegaskan insiden ini bukan ulah karyawan nakal (rogue insider) ataupun kekeliruan teknis yang tidak disengaja.
Dalam operasinya, Google mengambil tindakan hukum untuk merebut dan merobohkan nama-nama domain serta infrastruktur server pusat kendali botnet. Bersamaan dengan itu, Google melumpuhkan domain pengontrol untuk belasan kelompok varian malware lain yang dipasang melalui pintu belakang tersebut. Kepolisian Nasional Jepang (Japan's National Police Agency), Lumen, HUMAN Security, Plume, Synthient, serta TrendAI turut berkolaborasi bersama Google dalam aksi penindakan ini.
Mengingat kelompok kriminal di balik malware tersebut juga memanfaatkan jalur penyebaran alternatif lain, Google memproyeksikan intervensi ini sanggup memutus rute kendali mereka terhadap sedikitnya 10 juta perangkat terinfeksi tambahan. Kendati demikian, Google memperingatkan bahwa para penyedia pintu belakang serta sindikat kriminal pembeli akses lazimnya bertindak gesit beralih ke piranti anyar jika salah satu pilar operasi mereka terganggu.
Menyikapi temuan ini, Google telah secara resmi memutus seluruh kemitraan kerja sama dengan Videostrong. Google menjatuhkan sanksi larangan permanen terhadap korporasi tersebut, termasuk anak perusahaan dan afiliasi bisnis di masa mendatang, dari aktivitas pembuatan maupun penjualan perangkat bersertifikasi Android resmi, serta melarang pasokan piranti lunak mereka kepada manufaktur bersertifikat lainnya.
Cara Kerja dan Kemampuan Backdoor
Berdasarkan analisis teknis tim Google, program pintu belakang x.cpe beroperasi sebagai aplikasi sistem di dalam firmware, sehingga memegang hak istimewa setingkat sistem (system-level access). Modul ini secara konstan melapor kepada infrastruktur server komando dan kontrol (C2) botnet guna menantikan instruksi berikutnya. Agar dapat menginstalasi perangkat lunak luar tanpa kecurigaan visual, program ini mematikan fungsi pemindaian keamanan Google Play Protect, fitur proteksi bawaan sistem Android.
Berbekal akses tersebut, operator jaringan botnet memiliki kemampuan penuh memasang aplikasi tanpa izin pengguna, memicu perintah eksekusi kode acak, mengambil tangkapan layar (screenshot), serta memetakan struktur topologi jaringan lokal di sekitar perangkat.
Google mengungkapkan investigasi membuktikan operator di lingkungan Videostrong benar-benar mengaktifkan deretan kapabilitas ini. Mereka kedapatan merekam tampilan layar secara langsung, mengirimkan simulasi ketukan tombol (keystrokes), mengekstraksi data kredensial akun, menarik identitas spesifikasi perangkat, menyedot daftar inventaris aplikasi terpasang serta catatan aktivitas sistem (system logs), hingga membuka jalur reverse shell yang menyediakan antarmuka remote command line ke perangkat target.
Sebagian besar modul kejahatan digital yang dipasok melalui backdoor ini difungsikan untuk menyulap perangkat menjadi server residential proxy atau memeras sisa lebar pita (bandwidth) internet pemiliknya untuk dijual. Layanan residential proxy menjajakan akses koneksi internet hunian pribadi ke pihak luar, sehingga jalur trafik digital pembeli tampak seolah berasal dari jaringan rumah tangga biasa. Selain itu, paket modul berbahaya lainnya ditugaskan melakukan pemalsuan tayangan klik iklan online secara masif.
Kendati mayoritas unit terdampak berwujud set-top box Android TV, eksistensi pintu belakang ini terbukti menyusup ke perangkat keras lain, meliputi alat medis telehealth, mesin karaoke digital, hingga layar informasi periklanan (digital signage).
TrendAI, unit divisi keamanan enterprise dari Trend Micro, mencatat akumulasi 1.472.554 unit perangkat terinfeksi yang tersebar melintasi 206 varian model berbeda antara 3 Juni sampai 1 Oktober, seraya meyakini populasi aktual di lapangan jauh melampaui angka tersebut. Wilayah Malaysia, Brasil, Irak, Meksiko, serta Taiwan menempati daftar negara dengan kontribusi infeksi tertinggi. Sementara itu, Amerika Serikat, Jerman, Inggris, Australia, dan Kanada masing-masing mendeteksi persebaran sekitar 26.000 hingga 42.000 unit perangkat yang terkontaminasi.
Langkah Penanganan bagi Pemilik Perangkat
Firma riset Synthient, yang memantau jejaring proksi gelap dan botnet, merilis daftar inventaris memuat 182 nama model perangkat yang teridentifikasi terlibat dalam kampanye siber ini. Daftar publikasi tersebut sekaligus memperingatkan bahwa pencantuman nama model semata tidak serta-merta menjadi verifikasi mutlak bahwa sebuah unit box tertentu pasti telah terinfeksi.
Fokus investigasi Synthient menyoroti keberadaan unit-unit bermerek dagang MECOOL, yang jejak produksinya terikat langsung dengan Videostrong. Pihak analis membeli sampel produk MECOOL KM9PRO Max di pasaran dan mendapati modul pintu belakang tersebut tertanam rapi sejak dari pabrik. Sementara itu, Plume, pengembang piranti lunak Wi-Fi untuk kalangan penyedia jasa internet, mengidentifikasi lebih dari belasan jenis perangkat terhubung ke server pengendali botnet, di mana mayoritas mutlak merupakan produk bermerek MECOOL.
Disebabkan keberadaan x.cpe berakar di lapisan firmware inti, segala bentuk penghapusan berkas tidak akan bertahan lama. Modul berbahaya ini otomatis terpasang kembali begitu perangkat menyala ulang (restart). Analis TrendAI memaparkan program backdoor beroperasi sebagai aplikasi sistem yang ditandatangani memakai kunci kriptografi asli pihak produsen (maker's key), sehingga pembersihan menyeluruh menuntut tindakan dari vendor, penguatan perlindungan platform, atau penggantian fisik perangkat secara menyeluruh.
Pihak Plume menyarankan pemilik melakukan prosedur reset pabrik secara menyeluruh (full factory reset), menimbang risiko modul berbahaya telah mengunduh backdoor sekunder tambahan, meski Plume sendiri tidak menjamin langkah reset sanggup melenyapkan program x.cpe itu sendiri. Di sisi lain, Synthient menyampaikan rekomendasi agar konsumen membuang unit-unit box tersebut secara permanen ke tempat sampah karena paparan risiko ancaman malware yang tinggi.
TrendAI memberikan anjuran kepada seluruh entitas korporasi yang mempekerjakan karyawan jarak jauh (remote staff) agar memandang perangkat konsumen yang tidak terkelola di jaringan internet rumah sebagai bagian dari area permukaan serangan siber (attack surface), sekaligus memastikan akses internal perusahaan terkunci ketat hanya melalui perangkat yang terkelola resmi.
Proses Pengungkapan Keterlibatan Videostrong
Berdasarkan paparan data Google, skrip x.cpe meneruskan parameter konfigurasi dari server C2 ke aplikasi internal buatan Videostrong lainnya, termasuk aplikasi pemutar streaming bawaan YokaTV Player. Salah satu profil repositori GitHub yang menampung paket-paket instalasi pendukung botnet tersebut terang-terangan memakai identitas yf-videostrong.
Synthient, yang menjalankan investigasi kolaboratif bersama Google, turut menarik simpulan berderajat keyakinan tinggi bahwa Videostrong merupakan dalang di balik seluruh operasional ini. Analis mereka menunjuk bukti berupa berkas dokumen bertanda tangan resmi direktur riset dan pengembangan (R&D) Videostrong yang ditemukan terbengkalai pada direktori folder terbuka di salah satu server botnet, ditambah fakta domain web Videostrong berbagi alamat protokol internet (IP address) identik dengan panel kontrol pengelola botnet.
Plume melengkapi temuan tersebut dengan fakta bahwa Videostrong tidak hanya memproduksi penyediaan firmware bagi perangkat-perangkat ini, melainkan turut merancang piranti pengendali jarak jauh terpadu guna memfasilitasi manajemen unit-unit tersebut secara nirkabel.
Celah dalam Pengujian Perangkat Google
Google sejatinya mewajibkan seluruh mitra manufaktur piranti keras untuk lolos melewati serangkaian uji kepatuhan kompatibilitas dan standar keamanan berkala. Namun, Google mengakui pihak Videostrong menyamarkan rancangan kodenya demi memanfaatkan celah kosong dalam tahapan pengujian tersebut, lalu mengunduh kode berbahaya baru seusai perangkat merampungkan proses booting untuk kali pertama.
Buntut peristiwa ini, Google langsung merombak mekanisme peninjauan internal serta memperketat inspeksi kontrol pada lapisan firmware di seluruh ekosistem Android TV bersertifikasi.
Kendati demikian, per tanggal 2 November, etalase situs web resmi Videostrong masih mempromosikan aneka lini dagang dengan embel-embel klaim 'Google Certified Android TV Box' dan 'Google Certified Android TV Stick'.
Plume mengonfirmasi populasi armada botnet ini melibatkan kombinasi perangkat yang telah mengantongi sertifikasi Google maupun perangkat berbasis kompilasi Android Open Source Project (AOSP). Laporan publik Google tidak memerinci berapa jumlah pasti unit bersertifikasi yang turut terdampak.
Sebagai catatan perbandingan, ketika Google melayangkan tuntutan hukum atas pembongkaran botnet BadBox 2.0 pada Juli 2025 lalu, seluruh 10 juta lebih unit perangkat yang terjerat saat itu berstatus perangkat non-sertifikasi.
