Sebuah jaringan botnet berskala masif yang merangkul lebih dari 1,3 juta unit gawai Android, dengan mayoritas berupa perangkat set-top box televisi pintar, secara resmi telah diputus sambungannya dari server pengendali utama pada akhir Oktober lalu lewat operasi penindakan terpadu yang diinisiasi oleh Google.
Pihak Google mengungkapkan keyakinan tinggi bahwa manufaktur perangkat keras Videostrong sengaja menanamkan pintu belakang (backdoor) ke dalam perangkat buatannya, lalu menjual akses intrusi sistem tersebut langsung kepada sindikat kriminal siber.
Para pelaku kejahatan siber mengeksploitasi puluhan ribu boks TV untuk melancarkan skema manipulasi klik iklan digital (ad fraud) berskala luas, sekaligus mengalihkan rute lalu lintas internet pengguna lain melintasi jaringan internet rumahan milik konsumen yang tidak curiga. Pintu belakang tersebut dilaporkan masih tertanam di sistem perangkat keras dan para pemilik unit sama sekali tidak dapat membuangnya secara mandiri.
Videostrong, manufaktur yang berbasis di Shenzhen, China, merakit beragam lini Android TV box serta gawai pintar lain di bawah jenama miliknya sendiri maupun untuk menyuplai pesanan berbagai merek rekanan. Pintu belakang bernama x.cpe tersebut telah diintegrasikan langsung ke dalam puluhan model perangkat serta aneka label merek selama beberapa tahun terakhir. Google menegaskan bahwa situasi ini bukan diakibatkan ulah oknum karyawan nakal atau sekadar kelalaian teknis pemrograman biasa.
Guna melumpuhkan infrastruktur jahat tersebut, Google menempuh jalur hukum demi menyita, memblokir, serta membongkar aneka domain web dan server pusat kendali botnet raksasa ini. Langkah pembongkaran sistemik ini turut menyapu bersih alamat domain pengendali dari belasan varian malware berbeda yang sebelumnya disuntikkan lewat pintu belakang itu. Badan Kepolisian Nasional Jepang (Japan’s National Police Agency), Lumen, HUMAN Security, Plume, Synthient, serta TrendAI berkolaborasi erat bersama Google sepanjang operasi pembersihan.
Mengingat para pelaku juga menyebarkan muatan berbahaya lewat berbagai vektor distribusi alternatif lain, Google memproyeksikan aksi pemutusan infrastruktur ini sanggup memutus sambungan kendali ilegal terhadap setidaknya 10 juta unit perangkat terinfeksi tambahan di seluruh dunia. Lembaga tersebut turut memperingatkan publik bahwa para pengelola backdoor serta kelompok kriminal penyewa akses biasanya bertindak gesit beralih memakai instrumen serangan baru begitu satu simpul infrastruktur dihancurkan aparat.
Sebagai respons tegas atas temuan ini, Google memutus total seluruh hubungan kemitraan bisnis dengan Videostrong. Raksasa teknologi itu menjatuhkan sanksi larangan keras terhadap korporasi tersebut, termasuk unit anak perusahaan maupun seluruh entitas afiliasi masa depannya, agar tidak lagi merakit atau memperdagangkan gawai Android bersertifikasi resmi, sekaligus melarang mereka memasok komponen sistem operasi perangkat lunak ke pembuat perangkat resmi lainnya.
Cara Kerja dan Kemampuan Pintu Belakang
Berdasarkan laporan forensik Google, program backdoor x.cpe beroperasi sebagai aplikasi sistem tingkat dalam di partisi firmware, sehingga memegang hak akses administratif tertinggi. Modul ini secara konstan melapor ke server komando dan kendali (C2) botnet untuk menunggu perintah eksekusi teranyar. Agar dapat memasang muatan software ilegal tanpa memicu peringatan keamanan visual, program jahat ini mula-mula melumpuhkan mekanisme pemindaian proteksi internal Google Play Protect di Android.
Berbekal akses pintu belakang istimewa tersebut, para pengendali botnet leluasa mengunduh dan menyuntikkan aplikasi baru secara diam-diam tanpa persetujuan pemilik, mengeksekusi aneka baris perintah mentah, merekam tangkapan layar visual, hingga memetakan topologi jaringan lokal yang terhubung ke kotak TV tersebut.
Google menegaskan menyaksikan langsung bagaimana operator Videostrong memanfaatkan wewenang intrusif itu. Mereka kedapatan mengambil tangkapan layar langsung secara berkala, mengirimkan input ketikan tombol pengguna, mengekstrak data kredensial akun, menyalin informasi detail perangkat keras, mengumpulkan daftar inventaris aplikasi, menyedot log aktivitas sistem, serta membuka jalur reverse shell yang menyediakan konsol baris perintah kendali jarak jauh ke kotak TV.
Sebagian besar muatan modul yang disusupkan bertugas mengubah perangkat korban menjadi proxy residensial ilegal atau memeras kuota pita lebar internet yang tidak terpakai untuk diperjualbelikan. Layanan proxy perumahan ini memperdagangkan rute koneksi internet rumah tangga korban ke pihak luar, sehingga seluruh aktivitas lalu lintas jaringan pelanggan gelap tampak sah seolah-olah bersumber dari kediaman warga biasa. Sementara itu, komponen modul perusak lainnya dipakai memalsukan impresi serta tayangan iklan online secara masif.
Kendati sebagian besar perangkat terdampak merupakan konsol set-top box Android TV, keberadaan kode pintu belakang serupa juga terdeteksi menyusup ke sejumlah perangkat telemedis perawatan kesehatan jarak jauh, mesin hiburan karaoke digital, serta panel layar papan informasi digital.
TrendAI, unit bisnis Trend Micro, mencatatkan sedikitnya 1.472.554 unit perangkat terpapar infeksi aktif, mencakup sekitar 206 varian model gawai berbeda antara kurun 3 Juni hingga 1 Oktober, seraya menegaskan volume riil di lapangan jauh lebih tinggi. Malaysia, Brasil, Irak, Meksiko, dan Taiwan menduduki jajaran wilayah teratas dengan angka infeksi paling masif. Adapun wilayah Amerika Serikat, Jerman, Inggris Raya, Australia, serta Kanada masing-masing menghimpun rata-rata 26.000 hingga 42.000 perangkat terkontaminasi.
Langkah Tindakan yang Dapat Diambil Pemilik
Firma Synthient, pelacak jaringan proxy gelap dan sindikat botnet global, telah mempublikasikan daftar komprehensif berisi 182 nama model perangkat yang teridentifikasi dalam kampanye serangan siber ini. Pengumuman tersebut menegaskan kecocokan nama model saja belum tentu memastikan secara mutlak bahwa sebuah perangkat otomatis terjangkit.
Laporan investigasi Synthient menitikberatkan sorotan pada produk boks TV bermerek MECOOL, yang terbukti terafiliasi kuat dengan Videostrong. Analis mereka membeli langsung satu unit MECOOL KM9PRO Max dan menemukan keberadaan pintu belakang yang sudah terpasang sejak dari pabrik. Sementara itu, Plume, pengembang peranti lunak manajemen Wi-Fi bagi penyedia jasa internet, menemukan lebih dari selusin model gawai berbeda yang secara aktif berkomunikasi dengan server pengendali botnet, dengan mayoritas perangkat bermerek MECOOL.
Oleh karena modul x.cpe tertanam langsung di firmware dasar perangkat keras, upaya penghapusan standar dipastikan tidak membuahkan hasil permanen. Kode berbahaya ini otomatis terpasang kembali begitu perangkat dinyalakan ulang. Pihak TrendAI menguraikan bahwa pintu belakang berjalan sebagai berkas sistem bertanda tangan digital resmi dari pabrikan, sehingga pembersihan total mutlak memerlukan tindakan korektif vendor, pembaruan proteksi platform, atau penggantian unit gawai secara fisik.
Plume menyarankan konsumen melakukan penyetelan ulang ke pengaturan pabrik (factory reset), dengan pertimbangan bahwa berbagai modul tambahan mungkin telah menanamkan pintu belakang sekunder lain di sistem, kendati tidak menjamin prosedur reset pabrik mampu membersihkan modul inti x.cpe. Di sisi lain, Synthient mengimbau masyarakat untuk segera membuang boks TV tersebut secara permanen ke tempat sampah karena tingkat bahaya infeksi malware yang teramat tinggi.
Analis dari TrendAI turut mengingatkan para pelaku bisnis yang mempekerjakan karyawan jarak jauh agar memandang perangkat konsumen yang tidak terkelola di jaringan kediaman pribadi sebagai bagian dari bentang area serangan siber, sehingga seluruh akses sistem kerja korporat wajib dibatasi secara ketat hanya melalui perangkat kantor yang termonitor.
Penelusuran Jejak Keterlibatan Videostrong
Berdasarkan berkas investigasi Google, komponen x.cpe bertindak menyalurkan konfigurasi sistem dari server C2 ke aplikasi internal buatan Videostrong lainnya, termasuk peranti lunak pemutar siaran media YokaTV Player. Selain itu, salah satu repositori platform GitHub yang terbukti menampung paket arsip data botnet tersebut secara terang-terangan menggunakan nama akun yf-videostrong.
Synthient melontarkan kesimpulan serupa bahwa Videostrong merupakan pihak utama pengendali jaringan ini. Pihaknya mengacu pada temuan dokumen formal bertanda tangan direktur riset dan pengembangan Videostrong yang ditemukan terbengkalai pada direktori terbuka di salah satu server botnet, serta adanya domain web milik Videostrong yang memakai alamat IP identik dengan server panel kontrol para pelaku.
Hasil telaah lanjutan yang dihimpun Plume menemukan bukti bahwa Videostrong tidak hanya merancang dan memprogram firmware untuk aneka perangkat ini, melainkan juga menyediakan infrastruktur aplikasi untuk mengendalikan serta memantau unit-unit tersebut dari jarak jauh.
Celah pada Pengujian Perangkat Google
Dalam menjalankan ekosistemnya, Google mewajibkan setiap mitra pabrikan perangkat keras merampungkan serangkaian uji kepatuhan kompatibilitas dan audit protokol keamanan resmi. Perusahaan teknologi ini menyebut pihak Videostrong sengaja menyembunyikan instruksi kode jahat demi mengelabui celah pengawasan dalam skema pengujian tersebut, lalu mengunduh muatan berbahaya secara bertahap begitu perangkat dinyalakan pertama kali oleh konsumen.
Sebagai konsekuensi atas insiden ini, Google telah merombak total alur pengawasan verifikasi sistemnya serta memperketat proses audit mendalam terhadap seluruh paket firmware yang disematkan pada setiap unit konsol Android TV berlisensi resmi.
Kendati demikian, per tanggal 2 November, etalase situs web komersial milik Videostrong masih terpantau memajang dan menawarkan aneka katalog produk yang secara terbuka mereka beri label promosi sebagai “Google Certified Android TV Box” serta varian “Google Certified Android TV Stick.”
Plume mengonfirmasi temuan di lapangan bahwa jaringan botnet terdistribusi ini menginfeksi gabungan perangkat yang berstatus tersertifikasi resmi oleh Google maupun perangkat non-resmi yang hanya mengadopsi varian sistem operasi terbuka Android Open Source Project (AOSP). Kendati begitu, lembar laporan resmi dari Google tidak merinci spesifik berapa jumlah pasti perangkat berlisensi yang ikut terinfeksi.
Sebagai perbandingan preseden terdahulu, tatkala Google melayangkan gugatan perdata resmi terhadap sindikat botnet BadBox 2.0 pada medio Juli 2025 lalu, seluruh perangkat yang terlibat—dengan jumlah mencengangkan melebihi 10 juta unit gawai—merupakan jajaran perangkat tanpa sertifikasi resmi.