Google dan sejumlah mitra keamanan membongkar botnet XCPE, jaringan perangkat yang diam-diam dikendalikan dari jarak jauh. Lebih dari 1,3 juta set-top box, perangkat kecil yang disambungkan ke TV untuk streaming, sudah terdaftar di jaringan itu. Google menilai dengan keyakinan tinggi bahwa pabriknya sendiri yang sengaja menanam backdoor, celah tersembunyi yang memberi akses jarak jauh, lalu menjual akses itu ke pelaku kejahatan.
Ini bukan kasus pengguna salah klik iklan atau salah instal aplikasi. Backdoor itu sudah ada di firmware, perangkat lunak dasar yang mengendalikan perangkat, sejak perangkat dibuat. Artinya, pemilik bisa membeli perangkat dalam kondisi baru dan tetap membawa celah itu pulang.
Ringkasan cepat
- Botnet XCPE mencakup lebih dari 1,3 juta set-top box di lebih dari 200 negara.
- Google menuduh Videostrong Technology Co. sengaja menanam backdoor bernama x.cpe dan menjual aksesnya ke afiliator kriminal.
- Perangkat yang terinfeksi dipakai untuk penipuan iklan, proxy residensial, dan memasang malware tambahan.
- Server pengendali sudah ditindak, tetapi backdoor-nya belum hilang dari perangkat.
- Pemilik perangkat yang terdampak disarankan memutus perangkat dari internet atau menggantinya, karena menghapus aplikasi saja tidak cukup.
Apa yang terjadi
Google Threat Intelligence Group menyebut XCPE sebagai backdoor yang dibangun, disebarkan, dan dioperasikan untuk keuntungan finansial oleh Videostrong, produsen Android yang berbasis di Shenzhen, Tiongkok. Videostrong juga membuat perangkat untuk merek lain, dan menjual TV box dengan merek MECOOL. Google menemukan perangkat lunak berbahaya itu di banyak model dan merek selama bertahun-tahun, dengan infrastruktur khusus dan konfigurasi yang terus diubah untuk menghindari deteksi.
Google menegaskan ini bukan ulah satu karyawan nakal atau kesalahan pengembangan. Bukti yang dikutip Google dan peneliti Synthient antara lain keterkaitan infrastruktur dengan Videostrong, aplikasi YokaTV Player milik Videostrong, dan akun GitHub bernama yf-videostrong yang menampung muatan berbahaya. Videostrong belum memberikan tanggapan yang dikutip dalam sumber yang dibuka untuk artikel ini, jadi tuduhan ini ditulis sebagai penilaian Google, bukan putusan pengadilan.
Penindakan dilakukan bersama Kepolisian Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI. Google mengambil tindakan hukum untuk menutup domain dan server yang mengendalikan botnet, serta domain pengendali dari lebih dari selusin keluarga malware yang dimuat lewat backdoor itu.
Cara kerja XCPE, dalam bahasa sederhana
Bayangkan TV box itu punya pintu belakang yang kuncinya dipegang orang lain. Komponen utama backdoor, yang dilacak sebagai x.cpe dan com.oemservice, berjalan dengan hak sistem Android, level akses tertinggi di perangkat. Setelah perangkat menyala, XCPE menghubungi server pengendali untuk mengambil konfigurasi, lalu membuka koneksi persisten lewat MQTT, protokol pesan ringan yang biasa dipakai perangkat IoT, untuk menerima perintah.
Lewat koneksi itu, operator bisa menginstal aplikasi secara diam-diam, menonaktifkan Google Play Protect, menjalankan perintah shell, mengambil tangkapan layar, menyuntikkan ketikan tombol, mengumpulkan informasi akun, daftar aplikasi, dan log sistem, serta memindai jaringan rumah. Google juga mencatat modul yang mengubah perangkat menjadi proxy residensial, yaitu jalur yang meneruskan trafik internet orang lain lewat koneksi rumah korban tanpa sepengetahuan pemiliknya. Modul lain dipakai untuk penipuan iklan, misalnya memuat halaman tersembunyi dan mengklik iklan, serta memasang backdoor tambahan seperti Moyu dan Spirit.
Bagian paling sulit: x.cpe tidak bisa dihapus pengguna dengan cara biasa. Kalau dihapus dari partisi data, perangkat akan menginstalnya lagi dari partisi /oem/ saat restart. Sejak Agustus 2026, operator juga mulai mengganti loader lama com.abc.nexus dengan dropper yang lebih kecil dan menyamar sebagai aplikasi sistem, sehingga makin sulit dikenali.
Kenapa ini penting buat pembaca di Indonesia
Jumlah perangkat yang terinfeksi di Indonesia tidak dipublikasikan dalam sumber yang dibuka untuk artikel ini, jadi artikel ini tidak mengklaim angka Indonesia. Risikonya tetap nyata karena TV box Android murah, termasuk yang dijual lewat marketplace dan impor, adalah kategori yang sama dengan perangkat yang dibahas Google. Perangkat yang tidak tersertifikasi Google, atau yang harganya jauh di bawah perangkat resmi, patut dicurigai lebih dulu, meski tidak semua TV box murah terinfeksi.
Dampaknya juga tidak selalu terasa di layar TV. Perangkat bisa tetap memutar video seperti biasa sambil dipakai untuk penipuan iklan atau meneruskan trafik orang lain lewat WiFi rumah. Itu bisa memperlambat koneksi, dan dalam kasus terburuk, membuat alamat IP rumah terlibat dalam aktivitas yang bukan dilakukan pemiliknya. Risiko serupa dari malware Android lain juga pernah dibahas UlasTekno, misalnya kasus aplikasi bank asli yang bisa diganti palsu oleh malware Hirudo.
Apa yang sudah dilakukan Google
Google memutus hubungan dengan Videostrong dan melarang perusahaan itu, termasuk anak perusahaan dan afiliator di masa depan, membuat perangkat Android bersertifikat atau memasok perangkat lunak ke vendor bersertifikat. Google juga menyebut sudah memperbaiki proses peninjauannya, setelah Videostrong memakai teknik obfuskasi, penyamaran kode, untuk lolos dari pengujian dan memuat kode berbahaya setelah perangkat pertama kali dinyalakan.
Dampak penindakannya lebih luas dari 1,3 juta perangkat itu sendiri. Karena afiliator kriminal juga menyebarkan modulnya lewat jalur lain, Google menilai penutupan domain pengendali mereka akan memutus akses ke setidaknya 10 juta perangkat tambahan yang terinfeksi. Angka 10 juta itu adalah perkiraan akses yang terputus, bukan jumlah perangkat yang sudah dibersihkan. Perangkat yang sudah terinfeksi tetap terinfeksi sampai firmware-nya diganti dengan yang bersih.
Apa yang harus dilakukan pemilik TV box
Pertama, kenali perangkatmu. Catat merek dan model TV box, lalu cari namanya bersama kata XCPE, Videostrong, atau MECOOL di sumber keamanan tepercaya. Kalau perangkatmu termasuk model yang dilaporkan terdampak, jangan mengandalkannya lagi untuk akun penting.
Kedua, kalau ada tanda mencurigakan, putuskan perangkat dari internet. Tanda itu antara lain perangkat terasa panas atau lambat tanpa sebab jelas, trafik internet rumah melonjak, atau muncul aplikasi yang tidak pernah kamu instal. Memutus dari internet tidak membersihkan backdoor, tapi menghentikan perintah baru dari operator.
Ketiga, jangan berharap reset pabrik menyelesaikan masalah. Karena backdoor hidup di firmware, reset biasa tidak menghapusnya. Opsi yang disebut Google dan BleepingComputer adalah memasang firmware bersih dari sumber resmi, atau menghentikan pemakaian perangkat dan menggantinya. Firmware dari sumber tidak resmi justru bisa menambah risiko, jadi jangan mengunduh firmware acak dari forum.
Keempat, untuk pembelian berikutnya, pilih perangkat Android TV atau Google TV resmi yang jelas sertifikasinya, dan waspadai TV box yang menjanjikan semua channel premium gratis dengan harga sangat murah. Untuk perangkat TV lain di rumah, panduan dasar seperti cara tambah dan atur aplikasi di layar utama TV Samsung tetap berlaku, tapi tidak menggantikan pengecekan firmware untuk TV box yang tidak jelas asal-usulnya.
Yang masih belum terkonfirmasi
Google tidak mempublikasikan daftar lengkap model yang terdampak dalam laporan yang dibuka untuk artikel ini, dan tidak ada angka resmi untuk Indonesia. Synthient menyebut sudah menerbitkan daftar 182 nama model yang terlihat dalam kampanye ini, tetapi daftar itu belum diverifikasi satu per satu dalam artikel ini, jadi pembaca diarahkan untuk memeriksa merek dan modelnya sendiri, bukan mengandalkan satu daftar yang beredar di media sosial.
Penutup
Penindakan XCPE memutus kendali operator atas jutaan perangkat, tetapi tidak membersihkan perangkatnya. Itu perbedaan yang penting: server bisa ditutup, sementara backdoor di dalam TV box tetap hidup. Kalau perangkatmu masuk kategori berisiko, langkah paling aman adalah memutusnya dari internet dan menggantinya, bukan menunggu update yang mungkin tidak pernah datang untuk perangkat tidak resmi.
Tanya jawab singkat
- Apakah TV box saya pasti terinfeksi kalau mereknya sama? Belum tentu. Risiko paling tinggi ada pada model dan firmware yang dilaporkan terdampak, jadi periksa merek dan modelnya, bukan hanya mereknya.
- Apakah reset pabrik cukup? Tidak. Backdoor bisa menginstal ulang dari partisi
/oem/, jadi firmware bersih atau penggantian perangkat adalah opsi yang disebut sumber. - Apakah semua TV box Android berbahaya? Tidak. Perangkat resmi yang tersertifikasi dan berasal dari jalur penjualan jelas jauh lebih aman daripada TV box tanpa sertifikasi yang tidak jelas produsennya.
Sumber: Google Cloud Blog, “Shutting the Door on the XCPE Botnet” (cloud.google.com); BleepingComputer, “Google disrupts million-device XCPE Android malware botnet, bans TV box maker” (bleepingcomputer.com); The Verge, “One of Google’s Android partners turned 1.3 million set-top boxes into a botnet” (item pemantau; halaman The Verge tidak dapat dibuka pada run ini, sehingga detail di luar judul dan tautan tidak dipakai sebagai sumber artikel).
