Google bersama mitra industri berhasil membongkar botnet XCPE yang menjangkiti lebih dari 1,3 juta perangkat TV box Android pada awal November 2026. Tindakan ini memutus akses pelaku ke infrastruktur kontrol dan memblokir produsen terkait dari ekosistem Android bersertifikat.
Google Threat Intelligence Group mengumumkan hasil operasi tersebut pada 2 November 2026. Botnet bernama XCPE memanfaatkan backdoor yang sudah tertanam di firmware perangkat sejak pabrik. Mayoritas perangkat yang terinfeksi adalah set-top box Android TV. Perangkat lain yang terdampak mencakup mesin karaoke, alat telehealth, dan sistem digital signage.
Menurut laporan Google, produsen asal Shenzhen bernama Videostrong Technology Co. secara sengaja memasang backdoor tersebut. Perusahaan itu kemudian menjual akses perangkat kepada afiliasi kriminal. Modul malware tambahan yang dimuat kemudian digunakan untuk penipuan iklan dan layanan proxy residensial. Pemilik perangkat tidak menyadari aktivitas tersebut karena perangkat tetap berfungsi normal untuk streaming.
Google menilai dengan keyakinan tinggi bahwa backdoor dan botnet dikembangkan serta dioperasikan demi keuntungan finansial. Kutipan resmi dari Google Threat Intelligence Group menyatakan, Kami menilai dengan keyakinan tinggi bahwa backdoor dan botnet tersebut secara sengaja dikembangkan, disebarkan, dan dioperasikan untuk keuntungan finansial oleh Videostrong Technology Co.
Skala Infeksi dan Sebaran Global
Data dari TrendAI mencatat 1.472.554 perangkat terinfeksi di 206 model berbeda antara 3 Juni hingga 1 Oktober 2026. Infeksi tersebar di lebih dari 170 negara. Negara dengan jumlah tertinggi meliputi Malaysia, Brasil, Irak, Meksiko, dan Taiwan. Malaysia saja tercatat memiliki sekitar 300.390 perangkat terdampak.
Google memperkirakan pemutusan infrastruktur afiliasi akan memutus akses ke setidaknya 10 juta perangkat lain yang terkompromi melalui saluran berbeda. Operasi ini melibatkan Polisi Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI. Mereka bekerja sama menganalisis infrastruktur dan mengganggu domain perintah serta kontrol.
Backdoor XCPE berjalan dengan hak istimewa sistem Android. Jika pengguna mencoba menghapusnya, perangkat akan menginstal ulang dari partisi /oem saat dinyalakan ulang. Teknik ofuskasi memungkinkan malware lolos dari pengujian sertifikasi Google sebelum perangkat pertama kali diaktifkan.
Tindakan Google terhadap Produsen
Google memutus hubungan dengan Videostrong Technology Co. Perusahaan itu beserta anak perusahaan dan afiliasi di masa depan dilarang memproduksi perangkat Android bersertifikat. Mereka juga dilarang memasok perangkat lunak kepada produsen bersertifikat lainnya. Google telah memperketat proses pemeriksaan firmware pada perangkat Android TV bersertifikat.
Laporan Krebs on Security menyebutkan bahwa beberapa perangkat bersertifikat Android TV ikut terdampak. Hal ini menunjukkan celah dalam proses verifikasi sebelumnya. Google menyatakan telah menutup celah yang dimanfaatkan Videostrong untuk memuat kode setelah boot pertama.
Perangkat yang terinfeksi sering dijual dengan merek berbeda atau sebagai produk white-label. Merek MECOOL menjadi salah satu yang banyak disebut dalam analisis independen. Peneliti menemukan backdoor sudah terpasang pada sampel yang diperiksa.
Dampak terhadap Pengguna dan Ekosistem
Pengguna perangkat murah yang dijanjikan saluran gratis atau fitur lengkap berisiko lebih tinggi. Koneksi internet rumah mereka disewakan tanpa sepengetahuan untuk aktivitas yang dapat merugikan. Beberapa perangkat menjalankan hingga tiga modul proxy residensial sekaligus.
Google menekankan bahwa produsen yang dengan sengaja menginfeksi penggunanya merupakan pelanggaran kepercayaan yang tidak dapat diterima. Tindakan hukum diambil untuk menutup domain dan server yang digunakan Videostrong serta lebih dari selusin keluarga malware afiliasi.
Operasi ini menjadi peringatan bagi ekosistem Android TV. Sertifikasi Google tetap menjadi sinyal keamanan penting, namun bukan jaminan mutlak terhadap risiko rantai pasokan. Pengguna disarankan memilih perangkat dari merek terpercaya dan menjaga pembaruan sistem.
Google dan mitra terus memantau dampak lanjutan. Pemutusan infrastruktur kontrol diharapkan mengurangi aktivitas jahat yang memanfaatkan perangkat tersebut. Namun, backdoor di firmware perangkat yang sudah tersebar masih menjadi tantangan tersendiri bagi pemilik.
