Google bersama sejumlah mitra keamanan siber membongkar jaringan botnet XCPE yang melibatkan lebih dari 1,3 juta perangkat set-top box Android. Perangkat yang seharusnya digunakan untuk menikmati layanan streaming itu diduga telah disisipi backdoor sejak proses produksi. Google menyebut operasi tersebut berkaitan dengan produsen perangkat Videostrong Technology Co.
Pengungkapan ini menjadi pengingat bahwa ancaman keamanan tidak selalu datang dari aplikasi yang diunduh pengguna. Dalam kasus XCPE, kode berbahaya ditemukan tertanam di firmware perangkat. Artinya, risiko dapat muncul bahkan sebelum konsumen pertama kali menyalakan TV box yang baru dibeli.
Bagaimana botnet XCPE bekerja?
Menurut Google Threat Intelligence Group, malware XCPE ditanamkan pada sejumlah model dan merek perangkat Android selama beberapa tahun. Komponen backdoor utamanya berjalan dengan hak istimewa sistem Android sehingga memiliki kemampuan lebih luas dibanding aplikasi biasa.
Setelah perangkat terhubung ke internet, malware berkomunikasi dengan server command-and-control (C2). Melalui jalur tersebut, operator dapat mengirim instruksi dari jarak jauh, memasang modul tambahan, serta mengelola perangkat yang telah terinfeksi.
Google menyatakan perangkat yang dikuasai kemudian dimanfaatkan untuk berbagai aktivitas ilegal. Di antaranya adalah penipuan iklan, pengalihan lalu lintas internet melalui jaringan proxy residensial, pencurian informasi, hingga pemasangan malware lain. Aktivitas ini berlangsung tanpa sepengetahuan maupun persetujuan pemilik perangkat.
Google menuding backdoor dipasang secara sengaja
Google menyatakan memiliki tingkat keyakinan tinggi bahwa backdoor dan botnet tersebut dikembangkan serta dioperasikan untuk keuntungan finansial oleh Videostrong Technology Co. Perusahaan itu disebut menjual akses ke perangkat yang telah disusupi kepada pihak lain yang menjalankan aktivitas kriminal.
Dalam laporan teknisnya, Google juga menjelaskan bahwa malware dirancang agar sulit terdeteksi. Salah satu teknik yang digunakan adalah memanfaatkan celah dalam proses pemeriksaan kompatibilitas sehingga kode berbahaya dapat dimuat setelah perangkat menjalani proses boot pertama.
Google kemudian memutus hubungan dengan Videostrong dan melarang perusahaan tersebut memproduksi perangkat Android bersertifikasi dengan aplikasi Google bawaan maupun memasok perangkat lunak untuk vendor bersertifikasi. Google juga menyatakan telah memperbarui proses peninjauan keamanan perangkat.
Dampaknya bisa meluas ke perangkat lain
Operasi penindakan tidak hanya menyasar infrastruktur XCPE. Google dan mitra juga mengambil tindakan terhadap domain serta server C2 yang digunakan sejumlah modul malware terkait. Google memperkirakan langkah tersebut dapat memutus akses ke sedikitnya 10 juta perangkat lain yang terdampak melalui jalur distribusi berbeda.
Mayoritas perangkat dalam botnet XCPE merupakan Android TV box, tetapi Google juga menemukan perangkat Android berbasis IoT lain, termasuk perangkat telehealth, mesin karaoke, dan papan informasi digital. Temuan ini memperlihatkan bahwa perangkat hiburan dan perangkat pintar lain dapat menjadi bagian dari infrastruktur serangan siber.
Apakah perangkat yang sudah terinfeksi otomatis aman?
Penutupan server pengendali merupakan langkah penting, tetapi tidak berarti seluruh perangkat yang pernah terinfeksi otomatis bersih. Google menjelaskan bahwa komponen backdoor tertentu dapat bertahan di partisi firmware dan berpotensi memasang ulang dirinya setelah perangkat dinyalakan kembali.
Karena itu, pemilik TV box Android sebaiknya tidak menganggap reset pabrik sebagai jaminan penghapusan malware. Jika perangkat diduga termasuk model terdampak, langkah paling aman adalah menghubungi produsen atau penjual resmi untuk meminta informasi model dan firmware yang bersih. Hindari memasang firmware dari tautan tidak dikenal karena tindakan tersebut justru dapat menambah risiko.
Langkah yang bisa dilakukan pengguna TV box
- Periksa merek, nomor model, dan versi firmware perangkat melalui menu pengaturan.
- Unduh pembaruan hanya dari kanal resmi produsen atau penjual tepercaya.
- Jangan memasang APK dari situs atau tautan yang tidak dapat diverifikasi.
- Ganti kata sandi Wi-Fi dan akun penting jika ada indikasi perangkat telah disalahgunakan, terutama bila kredensial pernah dimasukkan melalui perangkat tersebut.
- Jika perangkat tidak lagi menerima pembaruan keamanan atau asal-usul firmware tidak jelas, pertimbangkan untuk menghentikan penggunaannya dan memutusnya dari jaringan rumah.
Kasus XCPE menunjukkan bahwa keamanan perangkat digital harus dimulai dari rantai pasok, bukan hanya dari kebiasaan pengguna. Konsumen perlu mempertimbangkan reputasi produsen, dukungan pembaruan, serta transparansi firmware sebelum membeli TV box atau perangkat pintar murah.
