Google Bongkar Botnet XCPE yang Infeksi 1,3 Juta Android TV Box, Produsen Videostrong Diblokir
Google bersama sejumlah perusahaan keamanan siber berhasil melumpuhkan jaringan botnet XCPE yang menginfeksi lebih dari 1,3 juta perangkat Android TV box di berbagai negara.
Dalam laporan yang diterbitkan pada 2 November 2026, Google Threat Intelligence Group (GTIG) mengungkap bahwa malware tersebut diduga sengaja ditanamkan ke dalam firmware perangkat oleh produsennya, Videostrong Technology Co., perusahaan elektronik asal China.
Berbeda dari serangan malware pada umumnya, pengguna tidak perlu mengunduh aplikasi mencurigakan atau mengklik tautan berbahaya untuk terinfeksi. Backdoor sudah berada di dalam perangkat sejak proses produksi.
Google menilai dengan tingkat keyakinan tinggi bahwa Videostrong sengaja mengembangkan dan mengoperasikan jaringan tersebut untuk memperoleh keuntungan finansial melalui aktivitas kejahatan siber.
Sebagai tindakan tegas, Google memutuskan seluruh kerja sama dengan Videostrong dan melarang perusahaan tersebut beserta afiliasinya memproduksi perangkat Android bersertifikasi Google.
Malware XCPE Sudah Terpasang Sebelum Perangkat Dijual
Investigasi Google menemukan bahwa XCPE telah dikembangkan dan disebarkan melalui berbagai merek serta model Android TV box selama beberapa tahun.
Salah satu perangkat yang dianalisis peneliti adalah MECOOL KM9PRO Max, sebuah Android TV box yang diproduksi oleh Videostrong.
Peneliti dari Synthient menemukan komponen berbahaya bernama com.oemservice yang telah tertanam dalam firmware perangkat.
Komponen tersebut merupakan bagian dari malware XCPE, yang juga dikenal sebagai x.cpe.
Backdoor ini berjalan menggunakan hak akses sistem Android melalui android.uid.system, sehingga memiliki kemampuan lebih tinggi dibandingkan aplikasi biasa.
Dengan akses tersebut, operator malware dapat menjalankan perintah, memasang aplikasi tambahan, serta mengendalikan berbagai fungsi perangkat tanpa sepengetahuan pemiliknya.
Yang lebih berbahaya, malware disimpan pada partisi firmware /oem/.
Akibatnya, ketika komponen berbahaya dihapus secara manual, malware dapat terpasang kembali setelah perangkat melakukan restart.
Android TV Box Digunakan untuk Iklan Palsu dan Proxy Internet
Google menemukan bahwa operator XCPE menjual akses terhadap perangkat yang terinfeksi kepada kelompok kejahatan siber lainnya.
Perangkat Android TV box kemudian digunakan untuk berbagai aktivitas yang menghasilkan pendapatan ilegal.
Beberapa aktivitas yang teridentifikasi meliputi:
- Ad fraud: Menghasilkan tayangan dan klik iklan palsu melalui halaman web tersembunyi.
- Residential proxy: Menggunakan koneksi internet rumah pengguna sebagai jalur perantara traffic pihak lain.
- Distribusi malware: Mengunduh dan memasang aplikasi berbahaya tambahan.
- Pencurian informasi: Mengumpulkan informasi akun, perangkat, dan data sistem.
- Akses jarak jauh: Menjalankan perintah serta melakukan pemeriksaan terhadap jaringan lokal.
Penggunaan perangkat sebagai residential proxy menjadi salah satu ancaman serius.
Melalui mekanisme tersebut, pelaku dapat mengirimkan traffic internet menggunakan alamat IP milik pelanggan yang tidak mengetahui bahwa perangkat mereka telah dikompromikan.
Akibatnya, aktivitas mencurigakan dapat terlihat seolah-olah berasal dari koneksi internet rumah korban.
Google mengidentifikasi sejumlah modul yang berkaitan dengan layanan proxy, termasuk Linkfog, AppSalt/Honeygain, GaGaNode, NetNut, dan Traffmonetizer.
XCPE Menggunakan Server Command-and-Control Tersembunyi
Dalam laporan teknisnya, Google menjelaskan bahwa XCPE menggunakan arsitektur malware modular.
Komponen utama bertanggung jawab membangun komunikasi dengan server penyerang, sementara komponen tambahan digunakan untuk menjalankan aktivitas tertentu.
Ketika Android TV box dinyalakan, XCPE menghubungi infrastruktur command-and-control (C2) melalui domain anyevonline[.]com.
Server kemudian memberikan informasi koneksi menuju layanan MQTT yang digunakan untuk mengirimkan instruksi.
Salah satu server yang diidentifikasi menggunakan alamat mqtt.szbboys[.]com.
Melalui mekanisme tersebut, operator dapat memerintahkan perangkat untuk menginstal malware, mengambil screenshot, mengumpulkan informasi, maupun menjalankan perintah sistem.
Google juga menemukan kemampuan untuk menonaktifkan Google Play Protect, fitur keamanan Android yang dirancang mendeteksi aplikasi berbahaya.
Sejak akhir 2024, operator terus mengembangkan malware untuk menghindari deteksi.
Pada tahap tertentu, mereka menggunakan loader tambahan bernama com.abc.nexus, sebelum beralih ke komponen yang lebih kecil dan menyamar sebagai aplikasi sistem Android.
Google Putus Akses ke 10 Juta Perangkat Terinfeksi Lainnya
Operasi penindakan tidak hanya menargetkan 1,3 juta Android TV box yang tergabung dalam botnet XCPE.
Google juga mengambil langkah hukum untuk menonaktifkan domain serta server yang digunakan lebih dari selusin keluarga malware terkait.
Menurut Google, tindakan tersebut diperkirakan memutus akses operator ke sedikitnya 10 juta perangkat tambahan yang sebelumnya telah dikompromikan.
Namun, angka tersebut tidak berarti terdapat 11,3 juta Android TV box yang terinfeksi XCPE.
Sebanyak 10 juta perangkat tambahan tersebut berasal dari berbagai kampanye malware dan metode distribusi lainnya, termasuk perangkat elektronik yang tidak semuanya menjalankan Android.
Beberapa kategori perangkat yang ditemukan meliputi set-top box, mesin karaoke, serta perangkat telehealth.
Operasi penindakan melibatkan Google, National Police Agency Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI.
Kerja sama tersebut bertujuan mengidentifikasi infrastruktur malware serta menghentikan komunikasi antara perangkat korban dan server penyerang.
Google Larang Videostrong Membuat Perangkat Android Bersertifikasi
Berdasarkan hasil investigasi, Google mengambil tindakan langsung terhadap Videostrong Technology Co.
Perusahaan tersebut dilarang memproduksi atau menjual perangkat Android bersertifikasi Google serta memasok software kepada produsen perangkat bersertifikasi lainnya.
Larangan juga berlaku terhadap anak perusahaan atau afiliasi Videostrong pada masa mendatang.
Google menyatakan bahwa malware ditemukan pada sejumlah perangkat selama beberapa tahun dan menggunakan konfigurasi yang terus berubah untuk menghindari pemeriksaan.
Peneliti Synthient turut menemukan bukti teknis yang menghubungkan infrastruktur malware dengan Videostrong, termasuk alamat server, sertifikat penandatanganan aplikasi, dan data internal yang terekspos.
Google menilai temuan tersebut tidak konsisten dengan dugaan kesalahan pengembangan biasa atau tindakan seorang karyawan tanpa sepengetahuan perusahaan.
Perusahaan juga memperbarui mekanisme sertifikasi Android setelah mengetahui bahwa teknik penyamaran malware berhasil melewati pemeriksaan keamanan sebelumnya.
Perangkat yang Terinfeksi Belum Otomatis Bersih
Meskipun infrastruktur botnet XCPE telah dilumpuhkan, Google memperingatkan bahwa malware yang tertanam di firmware belum otomatis hilang dari perangkat pengguna.
Karena backdoor berada pada partisi sistem, melakukan factory reset atau menghapus aplikasi tertentu belum tentu menyelesaikan masalah.
Untuk benar-benar menghilangkan infeksi, pengguna mungkin memerlukan instalasi firmware bersih dari sumber yang dapat dipercaya.
Namun, apabila firmware yang aman tidak tersedia, langkah paling aman adalah menghentikan penggunaan perangkat dan memutus koneksinya dari internet.
Pemilik Android TV box juga disarankan memeriksa merek dan model perangkat, memastikan sumber firmware resmi, serta menghindari pembelian produk dengan identitas produsen yang tidak jelas.
Tidak semua Android TV box dinyatakan terinfeksi. Peringatan ini terutama berkaitan dengan model dan rantai distribusi yang teridentifikasi dalam investigasi.
Ancaman Malware dari Rantai Produksi Perangkat
Kasus XCPE memperlihatkan bahaya serangan hardware supply chain ketika malware sudah disisipkan pada perangkat sebelum sampai ke tangan konsumen.
Dalam kondisi tersebut, pengguna dapat menjadi korban meskipun tidak pernah memasang aplikasi dari sumber tidak dikenal.
Dengan lebih dari 1,3 juta Android TV box yang terinfeksi dan keterkaitan dengan jutaan perangkat tambahan, operasi XCPE menunjukkan bagaimana perangkat elektronik rumah tangga dapat berubah menjadi infrastruktur kejahatan siber.
Google berhasil mengganggu operasi botnet tersebut, tetapi perangkat yang masih menyimpan firmware berbahaya tetap berisiko apabila kembali terhubung ke infrastruktur penyerang.
Kasus ini menjadi pengingat bahwa keamanan perangkat Android tidak hanya bergantung pada aplikasi yang dipasang pengguna, tetapi juga integritas firmware dan kepercayaan terhadap produsennya.
Sumber: Google Threat Intelligence Group — Shutting the Door on the XCPE Botnet
