Google Threat Intelligence Group mengumumkan pada 2 November 2026 bahwa bersama sejumlah mitra mereka menutup server di balik XCPE, backdoor yang tertanam di firmware set-top box Android TV. Backdoor ini menyeret lebih dari 1,3 juta perangkat ke dalam botnet. Google menilai dengan keyakinan tinggi bahwa pembuatnya adalah Videostrong Technology, produsen Android yang merakit banyak kotak tersebut.
Cara kerja dan skala botnet
Menurut Google, Videostrong mengembangkan, memasang, dan mengoperasikan backdoor itu demi keuntungan finansial. Perusahaan tersebut menjual akses ke afiliasi kriminal, yang lalu mendorong modul mereka sendiri ke perangkat korban. Modul itu menjalankan tayangan iklan palsu, memasukkan perangkat ke jaringan proxy residensial, mencuri detail akun dan log sistem, serta memasang malware tambahan. Operator juga bisa mengambil tangkapan layar, menyuntikkan ketukan tombol, dan membuka shell.
Komponen utamanya berjalan dengan hak istimewa sistem dan memasang ulang dirinya dari partisi terlindung setelah perangkat dihidupkan ulang, sehingga menghapus aplikasinya tidak membersihkan infeksi. Backdoor ini juga mematikan verifikasi paket Google Play Protect. Google memperkirakan pemutusan domain komando milik afiliasi memotong akses ke setidaknya 10 juta perangkat lain yang terinfeksi lewat jalur dan keluarga malware berbeda.
Sebagian besar perangkat terdampak adalah set-top box, tetapi Google juga menemukan perangkat IoT berbasis Android lain, seperti alat telehealth, mesin karaoke, dan papan reklame digital. Google menyebut botnet ini tersebar global tanpa merinci negara, dan laporan sumber tidak memuat nomor CVE. Badan Kepolisian Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI ikut dalam penindakan.
Tindakan Google terhadap Videostrong
Google menempuh jalur hukum terhadap domain dan server pengendali serta infrastruktur komando lebih dari selusin keluarga malware yang dibawa lewat backdoor ini. Google memutus hubungan dengan Videostrong dan melarang perusahaan itu, termasuk anak usaha dan afiliasi masa depannya, membuat perangkat Android bersertifikat atau memasok perangkat lunak ke vendor bersertifikat. Google juga memperketat pemeriksaan integritas firmware untuk Android TV bersertifikat dan mengubah proses tinjauan produsen untuk menutup celah pengujian yang dimanfaatkan.
Langkah yang perlu Anda ambil
Google tidak menyertakan prosedur pembersihan bagi pengguna, dan merek maupun model terdampak tidak disebutkan. Yang disarankan Google adalah memasang aplikasi hanya dari toko tepercaya, meninjau izin aplikasi VPN dan proxy pihak ketiga, serta menjaga Google Play Protect tetap aktif. Waspadai aplikasi yang menawarkan bayaran untuk “bandwidth menganggur” atau berbagi internet, karena itu jalur umum menuju jaringan proxy residensial. Bila Anda memakai TV box murah tanpa merek jelas, periksa apakah produsennya masuk daftar mitra Android TV bersertifikat Google. Pengelola jaringan juga bisa mencocokkan paket dan domain yang tercantum di laporan Google dengan lalu lintas jaringan mereka.
Karena backdoor ini ada di firmware, pemilik TV box murah yang curiga sebaiknya mencabutnya dari jaringan rumah atau kantor dan menggantinya dengan perangkat bersertifikat.
Sumber: Google Threat Intelligence Group dan Help Net Security. Gambar: Google Cloud Threat Intelligence.