TV box Android murah yang terpasang di ruang tunggu kantor desa, lobi instansi, atau sebagai layar informasi digital sering dianggap perangkat sepele. Padahal, sebuah pengungkapan besar pekan ini menunjukkan bahwa perangkat seperti itu bisa menjadi pintu masuk bagi aktivitas kriminal tanpa disadari pemiliknya. Google bersama sejumlah mitra industri mengungkap dan melumpuhkan XCPE, sebuah botnet yang bersembunyi di lebih dari 1,3 juta set-top box Android di lebih dari 200 negara — malwarenya sudah tertanam di firmware sebelum perangkat dijual.

Apa yang sebenarnya terjadi

Dalam laporan di blog Google Threat Intelligence, Google menyatakan dengan keyakinan tinggi bahwa backdoor dan botnet XCPE dikembangkan, dipasang, dan dioperasikan secara sengaja untuk keuntungan finansial oleh Videostrong Technology Co., produsen perangkat Android (OEM/ODM) yang berbasis di Shenzhen, Tiongkok. Videostrong memonetisasi backdoor dengan menjual akses kepada afiliasi kriminal, lalu memuat modul malware milik afiliasi tersebut ke perangkat yang sudah terinfeksi.

Modul-modul itu dipakai untuk penipuan iklan (ad fraud), mendaftarkan perangkat ke jaringan residential proxy secara diam-diam, dan menanam malware tambahan. Google juga menindak domain command and control (C2) yang menjalankan modul-modul afiliasi tersebut. Karena para afiliasi punya jalur distribusi lain di luar XCPE, Google memperkirakan tindakan ini memutus akses terhadap setidaknya 10 juta perangkat terinfeksi lainnya.

Riset TrendAI (unit enterprise Trend Micro) mencatat 1.472.554 perangkat terinfeksi di 206 model antara 3 Juni dan 1 Oktober 2026. Negara dengan jumlah terbanyak antara lain Malaysia, Brasil, Irak, Meksiko, dan Taiwan. Synthient, mitra riset dalam operasi ini, memperkirakan sekitar 500 ribu perangkat masih aktif online saat penindakan.

Cara backdoor bersembunyi di dalam perangkat

Yang membuat kasus ini berbeda dari serangan biasa: tidak ada lampiran email mencurigakan, tidak ada aplikasi yang diinstal pengguna. Ancaman datang bersama perangkatnya sendiri.

• Menempel di firmware. Backdoor bernama x.cpe (pada sebagian build muncul sebagai com.oemservice) sudah ada di partisi firmware dan berjalan pada level sistem (android.uid.system).
• Tidak bisa di-uninstall. Jika paketnya dihapus, sistem akan memasangnya kembali dari partisi /oem/ setiap kali perangkat reboot. Menghapus aplikasi dari menu pengaturan tidak menyelesaikannya.
• Mematikan pengaman. Backdoor dapat menonaktifkan pemeriksaan aplikasi di Google Play Protect, sehingga pemasangan aplikasi liar berjalan tanpa peringatan.
• Kendali jarak jauh penuh. Setelah terhubung ke server C2 lewat protokol MQTT, operator bisa memasang aplikasi tanpa sepengetahuan pemilik, menjalankan perintah shell, mengambil tangkapan layar, menyuntikkan ketikan, memindai jaringan tempat perangkat berada, menyalin informasi akun dan log sistem, hingga membuka reverse shell.

Sebagian besar korban adalah TV box Android, tetapi Google juga menemukan perangkat IoT berbasis Android lain yang terinfeksi: perangkat telehealth, mesin karaoke, dan perangkat digital signage — kategori yang sangat relevan bagi kantor pemerintah, sekolah, dan UMKM yang memakai layar informasi.

Kenapa ini penting untuk instansi dan UMKM

Perangkat yang terinfeksi bukan hanya "lemot" atau sering menampilkan iklan aneh. Ada tiga risiko nyata yang perlu dipahami pengelola TI:

1. Nama baik dan reputasi IP instansi. Koneksi internet kantor bisa dipakai sebagai jalur keluar aktivitas kriminal (proxy residensial, penipuan iklan). Akibatnya alamat IP publik instansi masuk daftar hitam, situs layanan publik sulit diakses, dan surat elektronik dinas berisiko ditolak server tujuan.
2. Jalur masuk ke jaringan internal. Kemampuan memindai jaringan membuat TV box di ruang tunggu bisa menjadi titik awal untuk memetakan perangkat lain, termasuk komputer kerja dan server.
3. Kebocoran data. Kemampuan menangkap layar dan menyalin informasi akun berbahaya bila perangkat pernah dipakai login ke akun dinas, email, atau dashboard aplikasi.

Langkah pemeriksaan dan penanganan

Google sudah memutus server kendali dan memblokir Videostrong dari ekosistem perangkat Android bersertifikat, tetapi backdoor-nya tetap tertinggal di perangkat yang sudah terlanjur terpasang. Pemilik tidak dapat membersihkannya sendiri. Karena itu, langkah berikut sebaiknya dijalankan sebagai audit kecil:

1. Inventarisasi. Catat semua TV box, Android box, dan layar digital signage di kantor: merek, model, tahun pembelian, dan lokasi pemasangan. Perhatikan terutama merek MECOOL yang ditautkan Synthient ke Videostrong.
2. Cocokkan dengan daftar model. Synthient mempublikasikan daftar 182 nama model yang terlihat dalam kampanye ini di repositori riset publiknya (GitHub synthient/public-research). Cocokkan model Anda dengan daftar tersebut.
3. Jangan buang waktu dengan uninstall. Menghapus aplikasi atau melakukan reset pabrik tidak menghilangkan backdoor karena komponennya berada di firmware.
4. Isolasi segera. Selama perangkat belum diganti, pindahkan ke jaringan terpisah (VLAN atau SSID khusus tamu) yang tidak bisa mengakses server, komputer kerja, dan perangkat jaringan lain. Batasi juga aksesnya ke internet bila layar hanya perlu menampilkan konten lokal.
5. Ganti perangkat. Solusi paling bersih adalah mengganti dengan perangkat yang bersertifikat resmi Google (Android TV/Google TV) dari distributor tepercaya, atau memakai mini PC yang sistem operasinya bisa diaudit dan diperbarui.
6. Pantau jaringan. Periksa router atau firewall untuk koneksi keluar yang tidak wajar dari perangkat TV box, misalnya trafik besar ke alamat asing pada malam hari, atau perangkat yang membuka banyak koneksi bersamaan.

Pelajaran untuk pengadaan perangkat TI

Kasus XCPE menegaskan satu hal: harga murah tanpa kejelasan rantai pasok bisa jauh lebih mahal di kemudian hari. Untuk pengadaan di instansi, tiga hal ini layak dijadikan syarat:

• Pilih perangkat dengan sertifikasi resmi dan model yang jelas, bukan sekadar "Android box" tanpa merek di marketplace.
• Pastikan ada jalur pembaruan firmware dan dukungan purna jual yang bisa dihubungi ketika ada kerentanan.
• Perlakukan perangkat IoT — termasuk TV box, kamera, dan layar informasi — sebagai perangkat yang tidak dipercaya: tempatkan di segmen jaringan terpisah sejak awal, bukan setelah ada insiden.

Ancaman yang menempel sejak pabrik memang sulit dideteksi dengan antivirus biasa. Namun inventarisasi perangkat, segmentasi jaringan, dan kebijakan pengadaan yang rapi akan menutup sebagian besar celah yang dimanfaatkan kampanye seperti ini.

Sumber: Google Cloud Blog — Shutting the Door on the XCPE Botnet; The Hacker News — Google Disrupts 1.3 Million-Device Android Botnet; The Verge; Synthient; Siaran pers industri.