Google bersama koalisi industri keamanan dan aparat penegak hukum internasional resmi melumpuhkan infrastruktur botnet global bernama XCPE yang menginfeksi lebih dari 1,3 juta perangkat televisi pintar dan set-top box berbasis Android di seluruh dunia. Investigasi mendalam yang dipimpin oleh Google Threat Intelligence Group (GTIG) mengungkap fakta mengejutkan: perangkat perusak tersebut bukan masuk akibat kecerobohan pengguna atau peretasan jaringan eksternal, melainkan sengaja ditanam di tingkat firmware oleh pihak manufaktur perangkat keras itu sendiri.

Pihak yang ditunjuk bertanggung jawab langsung adalah Videostrong Technology Co., Ltd., perusahaan manufaktur desain dan peralatan asli (OEM/ODM) yang berbasis di Shenzhen, Cina. Perusahaan ini memproduksi set-top box Android TV di bawah merek dagang miliknya sendiri—termasuk MECOOL dan YokaTV—serta merakit perangkat pesanan untuk berbagai merek pihak ketiga secara global.

Operasi penindakan terkoordinasi ini melibatkan Badan Kepolisian Nasional Jepang (Japan's National Police Agency) bersama mitra keamanan siber seperti Lumen (Black Lotus Labs), HUMAN Security, Plume, Synthient, dan unit enterprise Trend Micro, TrendAI. Lewat putusan pengadilan dan tindakan teknis serentak, Google mengambil alih domain serta peladen perintah dan kendali (C2) yang digunakan Videostrong dan sindikat afiliasinya untuk mengoperasikan jaringan tersebut.

Pintu Belakang yang Dijual ke Sindikat Kejahatan

Alih-alih sekadar menjual perangkat keras ke konsumen, Videostrong merancang model bisnis pascapenjualan yang mengeksploitasi pembeli. Komponen malware inti yang dikenal sebagai x.cpe (atau beroperasi dengan nama paket com.oemservice pada sejumlah varian) disusupkan langsung ke partisi sistem firmware sebelum perangkat dikemas dan dikapalkan ke pasar ritel.

Malware ini berjalan dengan hak istimewa tertinggi Android (android.uid.system). Begitu perangkat dinyalakan dan tersambung ke internet, x.cpe secara diam-diam mematikan fungsi pemindaian aplikasi pada Google Play Protect dan menghapus catatan persetujuan privasi pengguna. Dari sana, Videostrong memonetisasi akses perangkat dengan menyewakannya ke sindikat kejahatan siber (cybercrime affiliates).

Para afiliasi ini kemudian menyuntikkan berbagai modul sekunder ke dalam set-top box korban. Modul-modul tersebut mencakup peranti proksi residensial—seperti Linkfog, AppSalt, dan NetNut—yang membajak alamat IP dan kuota internet rumah pengguna untuk menyamarkan aktivitas penyerang lain. Modul lainnya menjalankan mesin penipuan iklan (ad-fraud) otomatis seperti CBOXTV dan HiddenView yang memutar video atau mengeklik iklan secara gaib tanpa sepengetahuan pemilik TV. Operator bahkan tercatat memanfaatkan akses tersebut untuk mengambil tangkapan layar langsung, mencuri log sistem, merekam ketukan tombol, dan membuka terminal reverse shell ke dalam jaringan lokal rumah tangga.

Bukti Telak di Rantai Pasok Hardware

Keterlibatan langsung Videostrong terkonfirmasi melalui rangkaian bukti digital yang tak terbantahkan. Analisis lembaga riset Synthient bersama koalisi menemukan bahwa alamat IP domain resmi videostrong[.]cn identik dengan peladen pengendali utama mqtt[.]anyevonline[.]com yang mengatur perintah botnet. Selain itu, sebuah direktori terbuka pada server operasional memuat dokumen deklarasi perangkat keras yang ditandatangani langsung oleh Direktur Riset dan Pengembangan Videostrong, Owen Cao.

Malware x.cpe sendiri mengalami evolusi teknis selama bertahun-tahun. Pada akhir 2024, operator memisahkan fungsi komunikasi C2 dengan membuat paket baru bernama com.abc.nexus guna mengelabui deteksi otomatis. Sejak Agustus 2026, mereka beralih ke peranti pemuat (dropper) yang lebih ringkas dan disamarkan sebagai paket sistem Android standar dengan memanfaatkan celah eskalasi hak akses lokal.

TrendAI mencatat setidaknya 1.472.554 perangkat terinfeksi aktif yang tersebar di 206 model berbeda sepanjang periode Juni hingga Oktober 2026. Sebagian besar perangkat berada di Malaysia, Brasil, Irak, Meksiko, dan Taiwan, disusul puluhan ribu unit di Amerika Serikat, Jerman, Inggris, Australia, hingga Kanada. Selain set-top box streaming, infeksi x.cpe juga terdeteksi merayap ke perangkat Internet of Things (IoT) berbasis Android lainnya, termasuk mesin karaoke, papan reklame digital komersial, hingga perangkat medis telehealth.

Dampak Pemutusan C2 dan Ancaman di Ruang Tamu

Langkah hukum Google berhasil mematikan domain pengendali milik Videostrong sekaligus domain C2 dari belasan keluarga malware afiliasi yang mendompleng jaringan ini. Karena sindikat penipuan iklan dan penyedia proksi residensial tersebut juga mendistribusikan peranti jahat mereka lewat kanal di luar XCPE, penindakan domain ini diperkirakan memutus akses ke setidaknya 10 juta perangkat terkompromi tambahan di seluruh dunia.

Sebagai sanksi tegas, Google mengumumkan pemutusan total seluruh hubungan bisnis dengan Videostrong. Google mencabut lisensi resmi Android TV milik pabrikan tersebut dan melarang Videostrong beserta seluruh anak perusahaan afiliasinya di masa depan untuk memproduksi perangkat bersertifikasi Google atau memasok peranti lunak kepada vendor mitra resmi. Google juga memperketat sistem validasi sertifikasi agar pengujian integritas tidak hanya mengevaluasi citra firmware awal, melainkan memblokir manipulasi dinamis yang dieksekusi setelah booting pertama.

Meski demikian, ancaman fisik bagi para pemilik perangkat belum sepenuhnya usai. Karena kode jahat x.cpe tertanam permanen di partisi /oem/ dan ditandatangani dengan kunci kriptografi resmi vendor, peranti perusak tersebut akan otomatis terpasang kembali setiap kali perangkat dinyalakan ulang (reboot). Reset pabrik (factory reset) biasa tidak mampu menghapusnya. Bagi pengguna yang memiliki set-top box terdampak, opsi pemulihan yang tersisa adalah memasang firmware murni dari komunitas tepercaya atau memutus koneksi internet perangkat secara permanen.

---

<small class="text-muted">Sumber utama: Google Cloud Threat Intelligence Blog — *Shutting the Door on the XCPE Botnet* (2 November 2026). Sumber tambahan: Trend Micro Newsroom — *Industry Takedown of Botnet Hidden in More Than 1.3 Million TV Set-Top Boxes across 200 Countries* (2 November 2026); BleepingComputer — Sergiu Gatlan, *Google disrupts million-device XCPE Android malware botnet, bans TV box maker* (2 November 2026); The Hacker News — Swati Khandelwal, *Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access* (2 November 2026); Synthient — *The Internals of a Badbox Operation* (November 2026).</small>