Google memutus server kendali sebuah botnet yang bersarang di kotak TV Android, dan menyebut pabrikannya sendiri yang menanam pintu belakang itu. Laporan Google pada 2 November 2026 menyebut botnet bernama XCPE mencakup lebih dari 1,3 juta perangkat, sebagian besar set-top box. Selain itu, Google memperkirakan penutupan server kendali memutus akses penjahat ke setidaknya 10 juta perangkat lain yang terinfeksi lewat jalur berbeda.
Pintu belakang sudah ada di firmware
Google menyatakan “sangat yakin” bahwa Videostrong, pabrikan kotak TV asal Shenzhen, Tiongkok, sengaja membangun pintu belakang bernama x.cpe dan menjual aksesnya kepada pihak kriminal. Perusahaan ini menjual perangkat atas nama sendiri maupun untuk merek lain. Peneliti Synthient menelusuri jejaknya setelah menemukan pintu belakang itu sudah terpasang di kotak MECOOL KM9PRO Max yang mereka beli. Bukti lain yang mereka kumpulkan mencakup dokumen bertanda tangan direktur R&D Videostrong di folder terbuka milik server botnet.
Karena x.cpe menjadi aplikasi sistem di dalam firmware, korban tidak perlu mengunduh apa pun. Aplikasi itu mematikan pemeriksaan Google Play Protect, lalu memasang perangkat lunak lain secara diam-diam. Menurut Google, operator pernah mengambil tangkapan layar secara langsung, mengirim ketukan tombol, menyalin data akun, dan membuka akses perintah jarak jauh. Sebagian besar modul mengubah kotak TV menjadi proksi residensial, yaitu jalur yang membuat lalu lintas pelanggan tampak berasal dari rumah biasa. Modul lain memalsukan tayangan iklan.
Langkah Google dan sebaran korban
Google menutup domain dan server pengendali XCPE, termasuk kendali lebih dari selusin keluarga malware. Perusahaan itu bekerja bersama Kepolisian Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI. Google juga memutus hubungan dengan Videostrong: pabrikan itu dan afiliasinya tidak boleh lagi membuat perangkat Android bersertifikasi atau memasok perangkat lunak ke vendor bersertifikasi. Google mengubah proses tinjauan sertifikasinya karena Videostrong menyamarkan kode untuk lolos dari pengujian, lalu memuat kode berbahaya setelah perangkat menyala pertama kali.
TrendAI mencatat 1.472.554 perangkat terinfeksi di 206 model antara 3 Juni dan 1 Oktober 2026. Infeksi terbanyak terdeteksi di Malaysia, Brasil, Irak, Meksiko, dan Taiwan. Amerika Serikat, Jerman, Inggris, Australia, dan Kanada masing-masing mencatat sekitar 26.000 sampai 42.000 perangkat. Sumber yang saya baca tidak menyebut angka untuk Indonesia. Pintu belakang ini juga ditemukan di mesin karaoke, perangkat telehealth, dan papan reklame digital. Pada 2 November, situs Videostrong masih mencantumkan produk yang disebutnya “Google Certified Android TV Box”. Saya tidak menemukan tanggapan Videostrong dalam sumber yang dibaca.
Apa yang bisa dilakukan pemilik kotak TV
Penutupan server tidak membersihkan perangkat. BleepingComputer melaporkan malware tetap berada di perangkat yang sudah terinfeksi dan bisa memasang ulang dirinya dari partisi /oem/ setelah dihapus. TrendAI menyebut pembersihan butuh tindakan vendor, perlindungan platform, atau penggantian perangkat. Plume menyarankan reset pabrik karena modul bisa memasang pintu belakang tambahan, tetapi tidak memastikan reset menghapus x.cpe. Synthient lebih tegas: buang kotak yang terdampak.
Synthient menerbitkan daftar 182 nama model yang muncul dalam kampanye ini, dengan catatan bahwa nama model saja tidak membuktikan infeksi. Pemilik kotak TV merek MECOOL atau model serupa sebaiknya memeriksa daftar itu, memutus perangkat dari jaringan rumah bila cocok, dan tidak memakainya untuk perbankan atau akun penting. Kantor yang memakai kotak TV konsumen untuk layar rapat atau ruang tunggu perlu memisahkannya ke segmen jaringan tersendiri.
Sumber: The Hacker News dan BleepingComputer. Gambar: The Hacker News