Sebuah jaringan botnet raksasa yang mencakup lebih dari 1,3 juta perangkat Android, mayoritas berupa set-top box televisi, kehilangan kendali atas server mereka pada akhir Oktober melalui operasi pembersihan yang dipimpin oleh Google. Google meyakini produsen perangkat Videostrong sengaja menanam backdoor ke dalam perangkat keras dan menjual akses tersebut kepada sindikat kriminal siber.
Para pelaku menyalahgunakan boks televisi ini untuk penipuan periklanan digital serta menyalurkan lalu lintas internet pihak asing melewati jaringan koneksi privat rumah konsumen. Pintu belakang digital berbahaya ini masih tertanam di unit boks, dan konsumen tidak memiliki kemampuan teknis untuk membersihkannya secara mandiri.
Videostrong, manufaktur asal Shenzhen, Tiongkok, memproduksi perangkat Android TV box dan produk lain di bawah labelnya sendiri maupun pesanan pihak ketiga. Pintu belakang x.cpe telah ditanamkan ke berbagai model dan merek selama beberapa tahun. Google menepis anggapan bahwa insiden ini disebabkan oknum nakal atau kelalaian kode program yang tidak disengaja.
Google memanfaatkan jalur hukum untuk merobohkan domain dan server komando pengatur botnet, sekaligus mematikan domain pengendali bagi selusin rumpun malware lain yang dipasok melalui x.cpe. Badan Kepolisian Nasional Jepang bersama Lumen, HUMAN Security, Plume, Synthient, dan TrendAI ikut berkolaborasi dalam operasi penegakan ini.
Mengingat malware ini juga didistribusikan melalui jalur lain, Google memproyeksikan intervensi ini memutus akses pelaku terhadap setidaknya 10 juta unit gawai tambahan yang terinfeksi. Google memperingatkan bahwa operator backdoor dan pembeli akses biasanya segera berpindah menggunakan perkakas perangkat lunak baru saat infrastruktur dihancurkan.
Google memutuskan hubungan kerja sama dengan Videostrong. Raksasa teknologi ini resmi melarang perusahaan manufaktur tersebut, termasuk entitas anak perusahaan dan afiliasinya, untuk merakit atau memperdagangkan perangkat bersertifikasi resmi Android serta menyuplai perangkat lunak bagi manufaktur bersertifikasi lainnya.
Bagaimana Cara Kerja Pintu Belakang Tersebut
Berdasarkan analisis insinyur Google, x.cpe beroperasi sebagai aplikasi sistem dalam firmware bawaan, memberikannya hak istimewa penuh setara level sistem. Program ini rutin melaporkan status ke server komando dan kontrol (C2) sambil menunggu instruksi. Agar dapat mengunduh dan memasang perangkat lunak asing tanpa dicurigai, kode ini terlebih dahulu melumpuhkan proteksi internal Google Play Protect.
Melalui backdoor ini, operator botnet dapat memasang aplikasi siluman tanpa disadari pemilik, mengeksekusi instruksi baris perintah, menangkap tangkapan layar, hingga memetakan jaringan lokal tempat boks televisi terhubung.
Penyidik Google menyaksikan langsung operator yang terafiliasi dengan Videostrong merekam cuplikan layar, mengirim rekaman ketukan tombol, mencuri data akun, menyalin data spesifikasi teknis perangkat, mengambil inventaris aplikasi dan log sistem, serta membuka koneksi reverse shell untuk akses konsol perintah jarak jauh.
Sebagian besar modul kejahatan yang disusupkan lewat x.cpe dirancang menyulap boks televisi menjadi simpul proksi residensial ilegal atau menjual kapasitas lebar pita (bandwidth) pengguna tanpa izin. Layanan proksi residensial menjual akses internet rumahan agar aktivitas data pelanggan gelap tampak sah dari jaringan biasa. Komponen modul lain dikerahkan untuk menghasilkan interaksi tayangan palsu pada iklan digital komersial.
Meski mayoritas unit terinfeksi adalah set-top box Android TV, backdoor ini juga ditemukan pada unit layanan kesehatan jarak jauh (telehealth), mesin pemutar karaoke digital, hingga papan reklame digital komersial.
TrendAI mendeteksi 1.472.554 unit perangkat yang terkontaminasi pada 206 model berbeda antara 3 Juni hingga 1 Oktober, menegaskan volume riil di lapangan jauh melampaui angka tersebut. Malaysia, Brasil, Irak, Meksiko, dan Taiwan mencatat angka infeksi tertinggi. Sementara Amerika Serikat, Jerman, Inggris Raya, Australia, dan Kanada masing-masing mencatat estimasi infeksi antara 26.000 hingga 42.000 unit.
Langkah Mitigasi Bagi Para Pemilik
Synthient menerbitkan daftar 182 model perangkat yang teridentifikasi terlibat langsung, disertai peringatan bahwa kecocokan nama model semata tidak menjamin suatu unit pasti terinfeksi. Investigasi Synthient menyoroti produk set-top box MECOOL yang terikat erat dengan Videostrong. Peneliti membuktikan tipe MECOOL KM9PRO Max memiliki backdoor bawaan pabrik. Plume turut mendeteksi belasan model gawai yang aktif berkomunikasi dengan server C2 botnet, mayoritas bermerek MECOOL.
Integrasi x.cpe ke dalam firmware bawaan membuat pembersihan manual tidak membuahkan hasil permanen, karena kode jahat terpasang kembali saat televisi dinyalakan ulang. Analis TrendAI menjelaskan pintu belakang ini beroperasi sebagai aplikasi sistem yang ditandatangani sertifikat kunci resmi produsen, sehingga remediasi menuntut intervensi vendor, penguatan proteksi platform, atau pergantian unit fisik secara total.
Plume menyarankan pemilik melakukan prosedur reset ke pengaturan pabrik karena modul liar mungkin menyusupkan backdoor cadangan, meski reset tidak menghapus modul inti x.cpe. Synthient bahkan merekomendasikan masyarakat membuang boks televisi tersebut secara permanen karena ancaman risikonya terlampau berbahaya.
Pakar keamanan TrendAI mengingatkan korporasi dengan karyawan jarak jauh agar memandang perangkat konsumen tanpa kelola di Wi-Fi rumahan sebagai permukaan serangan siber, serta mewajibkan akses jaringan internal kantor diamankan hanya melalui gawai resmi yang terkelola sistem keamanan korporat.
Proses Pengungkapan Peran Videostrong
Berdasarkan paparan Google, x.cpe meneruskan parameter konfigurasi dari server C2 menuju aplikasi kepunyaan Videostrong, termasuk YokaTV Player. Jejak digital lain adalah akun repositori GitHub publik penampung paket instalasi botnet yang terdaftar memakai nama yf-videostrong.
Tim analis Synthient menyimpulkan dengan keyakinan tinggi bahwa Videostrong merupakan pengendali operasi ini. Bukti forensik menunjuk pada dokumen internal bertanda tangan direktur litbang (R&D) Videostrong di server komando botnet, serta domain situs resmi Videostrong yang berbagi alamat IP dengan panel pengendali operasional penjahat. Kajian teknis Plume mengonfirmasi Videostrong menyediakan firmware sekaligus memasok perkakas pengendali jarak jauh untuk gawai tersebut.
Celah Pengawasan pada Sistem Uji Google
Google mewajibkan mitra manufaktur melalui pengujian kompatibilitas dan audit keamanan ketat. Namun, tim teknis Videostrong berhasil menyembunyikan kode berbahaya guna mengeksploitasi celah inspeksi, lalu mengunduh instruksi kode berbahaya secara penuh sesaat setelah perangkat melakukan booting pertama kali di tangan konsumen.
Google kini telah merombak alur audit verifikasi serta memperketat peninjauan berkala terhadap integritas kode firmware pada perangkat bersertifikasi Android TV. Hingga 2 November, situs resmi Videostrong masih memajang produk dengan klaim label Android TV Box dan Stick Bersertifikat Google.
Investigasi Plume menemukan armada botnet ini mencakup gawai bersertifikasi resmi Google maupun gawai murah berbasis Android Open Source Project (AOSP) tanpa lisensi Google. Google tidak memerinci proporsi jumlah unit bersertifikasi yang terdampak. Sebagai perbandingan historis, saat Google menggugat botnet BadBox 2.0 pada Juli 2025, lebih dari 10 juta unit yang terinfeksi seluruhnya merupakan perangkat tanpa sertifikasi resmi.
About the Author
