Kapsultekno.com - Google mengungkap botnet XCPE yang telah menginfeksi lebih dari 1,3 juta unit perangkat Android set-top box (Android TV box). Perangkat tersebut diam-diam menjadi bagian dari jaringan yang dapat dikendalikan dari jarak jauh untuk menjalankan berbagai aktivitas kejahatan siber.

Malware bernama XCPE tersebut diduga sengaja ditanamkan oleh produsen perangkat, Videostrong Technology Co untuk menghasilkan keuntungan. Temuan ini menjadi perhatian karena infeksi tidak berasal dari aplikasi yang diunduh pengguna atau kesalahan saat mengakses situs tertentu. Malware justru sudah tertanam di dalam firmware perangkat sejak proses produksi.

Berdasarkan laporan Google Threat Intelligence Group (GTIG) yang dipublikasikan pada 2 November 2026, Google bersama sejumlah mitra industri telah mengambil tindakan untuk membongkar infrastruktur botnet tersebut.

Malware XCPE Diduga Ditanamkan Sejak Proses Produksi

Google menyatakan memiliki tingkat keyakinan tinggi bahwa Videostrong Technology Co, perusahaan manufaktur perangkat Android asal China, secara sengaja mengembangkan, menyebarkan, dan mengoperasikan malware XCPE untuk kepentingan finansial.

Malware tersebut ditemukan tertanam langsung dalam firmware berbagai merek dan model perangkat Android TV Box selama beberapa tahun.

Salah satu komponen utamanya dikenal dengan nama x.cpe atau com.oemservice. Program berbahaya ini memiliki hak akses tingkat sistem Android sehingga dapat menjalankan perintah tertentu tanpa sepengetahuan pemilik perangkat.

Google menjelaskan bahwa Videostrong menggunakan teknik penyamaran untuk menghindari pemeriksaan keamanan. Malware bahkan dapat dimuat setelah perangkat pertama kali dinyalakan dan terhubung ke internet.

Dengan metode tersebut, perangkat yang sebelumnya telah melewati proses sertifikasi Android tetap dapat terinfeksi.

Setelah berhasil aktif, XCPE menghubungkan perangkat ke server command and control (C2), yaitu infrastruktur yang digunakan operator untuk mengirimkan perintah dan mengendalikan perangkat dari jarak jauh.

Melalui akses tersebut, operator dapat melakukan berbagai aktivitas, antara lain, mengunduh dan memasang aplikasi tambahan tanpa persetujuan pemilik perangkat, menonaktifkan Google Play Protect untuk menghindari deteksi keamanan.

Selain itu, operator juga dapat menjalankan perintah dan skrip melalui sistem Android, mengambil tangkapan layar perangkat secara diam-diam dan mengumpulkan informasi akun, identitas perangkat, aplikasi terpasang, dan log sistem, bahkan memantau jaringan serta menjalankan aktivitas berbahaya melalui koneksi internet korban.

Kemampuan tersebut membuat Android TV Box yang terinfeksi bukan sekadar perangkat streaming biasa, melainkan dapat berubah menjadi bagian dari infrastruktur kejahatan siber.

Dimanfaatkan untuk Penipuan Iklan dan Jaringan Proxy

Selain mengoperasikan backdoor, Videostrong juga memonetisasi perangkat yang telah disusupi dengan menjual akses kepada afiliasi kriminal. Pihak tersebut kemudian memasang modul malware tambahan untuk menjalankan berbagai aktivitas ilegal.

Salah satunya adalah ad fraud atau penipuan iklan. Perangkat yang terinfeksi dapat menjalankan halaman web dan menghasilkan tayangan maupun klik iklan secara otomatis untuk memperoleh keuntungan bagi pelaku.

Modul malware lainnya mengubah perangkat menjadi residential proxy, yakni perantara koneksi internet yang menggunakan alamat IP rumah atau jaringan milik korban.

Dengan metode ini, pihak lain dapat mengarahkan lalu lintas internet melalui koneksi korban tanpa sepengetahuan pemiliknya. Aktivitas tersebut berpotensi membuat alamat IP pengguna dikaitkan dengan aktivitas mencurigakan yang sebenarnya dilakukan orang lain.

Google juga menemukan sejumlah modul malware tambahan yang dapat memasang pintu belakang lain sehingga perangkat semakin rentan terhadap pengambilalihan.

Google Putus Hubungan dengan Videostrong

Untuk menghentikan operasi tersebut, Google bekerja sama dengan Japan National Police Agency serta sejumlah perusahaan keamanan siber, termasuk Lumen, HUMAN Security, Plume, Synthient, dan TrendAI.

Google mengambil tindakan hukum untuk menutup domain dan server yang digunakan Videostrong dalam mengendalikan botnet XCPE serta mendistribusikan malware tambahan.

Google juga memutus hubungan dengan Videostrong dan melarang perusahaan tersebut, termasuk anak perusahaan maupun afiliasinya di masa mendatang, memproduksi perangkat Android bersertifikasi atau memasok perangkat lunak untuk vendor bersertifikasi.

Tidak hanya itu, Google memperbarui proses pemeriksaan keamanan dan integritas firmware perangkat Android TV untuk mencegah kejadian serupa.

Google memperkirakan penutupan server pengendali tersebut juga dapat memutus hubungan dengan sedikitnya 10 juta perangkat lain yang telah terinfeksi malware melalui jaringan berbeda, di mana perangkat-perangkat tersebut bukan bagian dari botnet XCPE.