Google telah memutus infrastruktur botnet XCPE yang menjangkiti jutaan TV box Android, namun backdoor di firmware perangkat masih bertahan. Pemilik disarankan memeriksa model perangkat dan mempertimbangkan penggantian jika berisiko tinggi.
Operasi Google bersama mitra pada akhir Oktober 2026 berhasil memutus server perintah dan kontrol botnet XCPE. Namun, laporan terbaru mengingatkan bahwa malware tertanam di firmware tidak hilang otomatis. Perangkat yang sudah terinfeksi tetap membawa backdoor yang dapat aktif kembali setelah dinyalakan ulang.
Menurut analisis Google Threat Intelligence Group, backdoor XCPE terpasang di partisi sistem dan ditandatangani dengan kunci produsen. Upaya penghapusan manual gagal karena perangkat menginstal ulang komponen dari partisi /oem. TrendAI mencatat bahwa pemilik tidak dapat membersihkan implant secara mandiri.
Google menyatakan, Produsen perangkat yang dengan sengaja menginfeksi penggunanya dengan malware merupakan pelanggaran kepercayaan yang tidak dapat diterima dan menimbulkan risiko serius bagi pengguna tersebut. Pernyataan ini menegaskan sikap perusahaan terhadap Videostrong Technology Co. yang dituduh membangun dan menjual akses backdoor.
Risiko yang Masih Bertahan bagi Pengguna
Meski infrastruktur kontrol utama sudah diputus, perangkat yang terinfeksi masih menyimpan modul residual. Beberapa modul proxy residensial dan penipuan iklan sempat berjalan di latar belakang. Pengguna mungkin merasakan konsumsi data internet yang tidak biasa atau kinerja perangkat yang menurun.
Peneliti Synthient yang memeriksa model MECOOL KM9PRO Max menemukan backdoor sudah terpasang sejak pabrik. Merek pada kotak perangkat tidak selalu mencerminkan produsen firmware sebenarnya. Videostrong memasok perangkat di bawah berbagai merek dan label putih selama beberapa tahun.
Data TrendAI menunjukkan infeksi tertinggi di Malaysia dengan ratusan ribu perangkat, diikuti Brasil, Irak, Meksiko, dan Taiwan. Negara-negara di kawasan Asia Tenggara termasuk yang terdampak signifikan. Pengguna di Indonesia yang membeli TV box murah dari pasar online perlu ekstra waspada.
Langkah yang Disarankan bagi Pemilik Perangkat
Pemilik perangkat Android TV disarankan memeriksa merek dan model terhadap daftar yang diterbitkan peneliti independen. Perangkat dari merek besar seperti Roku, Amazon Fire TV, atau Google TV Streamer resmi memiliki risiko jauh lebih rendah. Perangkat bersertifikat Android TV dari merek kecil atau tanpa merek jelas masuk kategori risiko menengah hingga tinggi.
Jika perangkat termasuk model yang disebutkan dalam investigasi, langkah paling aman adalah memutus koneksi internet dan merencanakan penggantian. Memblokir domain kontrol di tingkat router dapat mengurangi risiko sementara. Namun, solusi permanen memerlukan firmware bersih yang belum tersedia secara umum.
Google telah memperbarui proses sertifikasi untuk menutup celah yang dimanfaatkan Videostrong. Pemeriksaan integritas firmware kini lebih ketat. Langkah ini diharapkan mencegah kejadian serupa di masa depan. Namun, perangkat yang sudah beredar tetap menjadi tanggung jawab pemilik untuk dikelola.
Implikasi Lebih Luas terhadap Ekosistem IoT
Kasus XCPE memperlihatkan risiko rantai pasokan pada perangkat Internet of Things berbasis Android. Backdoor yang sama ditemukan pada perangkat telehealth, mesin karaoke, dan digital signage. Organisasi yang menggunakan perangkat tersebut di lingkungan kerja perlu melakukan inventarisasi dan isolasi jaringan.
Laporan Krebs on Security mencatat bahwa pemutusan infrastruktur afiliasi memutus akses ke lebih dari 10 juta perangkat lain. Afiliasi kriminal menggunakan saluran distribusi beragam. Ketika satu loader ditutup, mereka cepat beralih ke metode baru. Pasar proxy residensial dan penipuan iklan terbukti tangguh.
Google menekankan bahwa tindakan terhadap Videostrong dan lebih dari selusin keluarga malware memberikan dampak serius. Namun, pasar ilegal tersebut saling terhubung. Operator backdoor, jaringan penipuan iklan, dan penyedia proxy residensial membentuk rantai pasokan yang adaptif.
Pengguna disarankan memilih perangkat dari produsen yang memiliki rekam jejak pembaruan keamanan yang jelas. Membeli perangkat yang terlalu murah dengan janji saluran gratis membawa risiko tersembunyi. Kewaspadaan terhadap perangkat streaming murah menjadi semakin penting setelah kasus ini terungkap.
Google dan mitra keamanan terus memantau perkembangan. Informasi terbaru mengenai model terdampak dan rekomendasi dapat berubah seiring investigasi lanjutan. Pemilik perangkat yang merasa curiga sebaiknya segera memutus koneksi dan mencari alternatif yang lebih aman.
