Google bersama sejumlah mitra keamanan membongkar botnet XCPE, jaringan perangkat berbahaya yang bersembunyi di dalam lebih dari 1,3 juta Android TV box di seluruh dunia. Pengungkapan ini disampaikan Google Threat Intelligence Group dalam laporan berjudul Shutting the Door on the XCPE Botnet yang diterbitkan pada 2 November 2026.
Yang membuat kasus ini berbeda dari serangan siber biasa adalah pelakunya. Google menilai dengan keyakinan tinggi bahwa pintu belakang yang mengendalikan botnet tersebut sengaja dibuat, dipasang, dan dioperasikan oleh pabrikan perangkat itu sendiri, yaitu Videostrong Technology Co., perusahaan asal Tiongkok yang memproduksi Android TV box.
Sorotan Utama
- Google dan mitra keamanan membongkar botnet XCPE yang menginfeksi lebih dari 1,3 juta Android TV box di seluruh dunia.
- Pintu belakang bernama x.cpe tertanam di dalam firmware perangkat dan tidak bisa dihapus sendiri oleh pemiliknya.
- Google menilai dengan keyakinan tinggi bahwa Videostrong Technology Co. sengaja membangun dan mengoperasikan botnet tersebut untuk keuntungan finansial.
- Akses ke perangkat yang terinfeksi dijual kepada pelaku kejahatan untuk penipuan iklan dan jaringan proxy rumahan.
- TrendAI mencatat 1.472.554 perangkat terinfeksi dari 206 model di lebih dari 170 negara antara Juni dan Oktober 2026.
- Google menempuh jalur hukum untuk menutup server dan domain pengendali botnet beserta belasan keluarga malware lain yang disebarkan lewat pintu belakang itu.
- Videostrong dilarang membuat perangkat Android bersertifikat dan memasok perangkat lunak ke vendor bersertifikat lainnya.
- Server pengendali sudah dimatikan, tetapi pintu belakang masih tertanam di perangkat yang sudah terjual sehingga pemiliknya tetap berisiko.
Apa Itu Botnet XCPE dan Cara Kerjanya
Botnet adalah jaringan perangkat yang telah diambil alih kendalinya dari jarak jauh tanpa sepengetahuan pemiliknya. Dalam kasus XCPE, perangkat yang diambil alih adalah Android TV box, yaitu perangkat kecil yang mengubah televisi biasa menjadi televisi pintar dengan sistem operasi Android.
Pintu belakang yang digunakan bernama x.cpe, atau com.oemservice pada beberapa versi perangkat. Program berbahaya ini sudah tertanam sejak perangkat keluar dari pabrik, tepatnya di dalam partisi firmware. Karena berjalan dengan hak akses tingkat sistem, program ini tidak terlihat oleh pemilik dan tidak bisa dihapus dengan cara biasa.
Bahkan ketika pengguna mencoba menghapusnya, pintu belakang tersebut dapat memasang dirinya kembali dari partisi /oem/ setiap kali perangkat dinyalakan ulang. Mekanisme inilah yang membuat XCPE sangat sulit dibersihkan dan berbeda dari malware biasa yang menempel pada aplikasi.
Setelah aktif, pintu belakang itu menyerahkan kendali perangkat kepada program pemuat bernama com.abc.nexus. Melalui program inilah para pelaku kejahatan memasang modul tambahan ke perangkat korban untuk berbagai keperluan, mulai dari penipuan iklan hingga penyalahgunaan koneksi internet rumah pemilik perangkat sebagai jaringan proxy.
Videostrong, Produsen di Balik Pintu Belakang XCPE
Google menyebut Videostrong Technology Co. sebagai perusahaan manufaktur dan perancang perangkat Android, yang dalam industri dikenal sebagai OEM dan ODM. Perusahaan yang berbasis di Shenzhen ini menjual Android TV box dengan merek MECOOL, sekaligus memproduksi perangkat untuk merek-merek lain.
Dalam laporannya, Google menyatakan bahwa Videostrong tidak hanya lalai menjaga keamanan produknya. Google menilai dengan keyakinan tinggi bahwa perusahaan tersebut sengaja mengembangkan, menyebarkan, dan mengoperasikan pintu belakang x.cpe demi keuntungan finansial, lalu menjual akses ke perangkat yang terinfeksi kepada kelompok kriminal.
Google juga mengaitkan pintu belakang itu dengan aplikasi YokaTV Player milik Videostrong serta sebuah akun GitHub bernama yf-videostrong yang menjadi tempat penyimpanan muatan berbahaya. Hingga laporan diterbitkan, Videostrong belum mengeluarkan pernyataan publik apa pun mengenai tuduhan tersebut.
Skala Serangan Botnet XCPE di 170 Negara
Jumlah perangkat yang terinfeksi XCPE sangat besar. Google menyebut lebih dari 1,3 juta set-top box Android telah terdaftar dalam botnet tersebut. Angka ini merupakan angka gabungan yang disepakati para mitra, karena hasil penghitungan masing-masing pihak sedikit berbeda.
TrendAI, unit bisnis perusahaan keamanan Trend Micro yang turut memasok data intelijen untuk operasi ini, menghitung 1.472.554 perangkat terinfeksi dari 206 model di lebih dari 170 negara selama periode 3 Juni hingga 1 Oktober 2026. Sebagian besar perangkat yang terinfeksi adalah Android TV box murah yang dijual bebas di berbagai negara.
Skala dampaknya bahkan melampaui perangkat XCPE itu sendiri. Google memperkirakan penutupan domain pengendali belasan keluarga malware yang disebarkan lewat pintu belakang ini akan memutus akses pelaku kejahatan ke sedikitnya 10 juta perangkat lain yang terinfeksi melalui jalur berbeda. Angka 10 juta tersebut merupakan penilaian Google, bukan hasil penghitungan independen.
Langkah Google dan Mitra Melawan Botnet XCPE
Pembongkaran XCPE bukan hasil kerja Google sendiri. Operasi ini melibatkan Kepolisian Nasional Jepang, serta perusahaan keamanan Lumen, HUMAN Security, Plume, Synthient, dan TrendAI. Para mitra ini bekerja sama melacak infrastruktur, server, dan domain yang digunakan untuk mengendalikan botnet.
Google menempuh jalur hukum untuk menutup domain dan server yang digunakan Videostrong untuk mengendalikan botnet dan memasang modul berbahaya. Langkah hukum serupa juga diambil terhadap domain pengendali dari lebih dari selusin keluarga malware yang disebarkan melalui pintu belakang XCPE.
Selain itu, Google memutus hubungan dengan Videostrong dan melarang perusahaan itu beserta anak perusahaan atau afiliasi di masa depan untuk membuat dan menjual perangkat Android bersertifikat, atau memasok perangkat lunak kepada vendor bersertifikat lainnya. Dengan kata lain, perangkat Videostrong tidak lagi boleh beredar dengan aplikasi Google yang sudah terpasang resmi.
Ironisnya, hingga 2 November 2026, situs web Videostrong masih menampilkan klaim perangkat Google Certified Android TV Box dan Google Certified Android TV Stick. Klaim tersebut kini bertentangan dengan larangan yang sudah dijatuhkan Google.
Kaitan XCPE dengan Operasi BADBOX 2.0
Laporan Google juga menghubungkan XCPE dengan operasi kejahatan siber yang lebih besar. Dua modul tambahan yang disebarkan melalui pintu belakang itu, bernama Moyu dan Bird, dikaitkan dengan operasi BadBox. Biro Investigasi Federal Amerika Serikat, FBI, telah memperingatkan konsumen mengenai operasi yang dikenal sebagai BADBOX 2.0 dalam pengumuman layanan publik pada Juni 2025.
Keterkaitan ini menunjukkan bahwa XCPE bukan serangan yang berdiri sendiri. Pintu belakang tersebut berfungsi sebagai jalan masuk, sementara berbagai kelompok kriminal lain memanfaatkan jalan itu untuk menyebarkan malware mereka sendiri ke jutaan perangkat di rumah-rumah pengguna.
Bahaya Botnet XCPE bagi Pemilik Android TV Box di Indonesia
Bagi pemilik Android TV box, kabar baiknya adalah server pengendali botnet XCPE sudah dimatikan sehingga perangkat yang terinfeksi tidak lagi menerima perintah dari pelaku kejahatan. Namun kabar buruknya, pintu belakang itu sendiri masih tertanam di dalam firmware perangkat dan pemilik tidak bisa menghapusnya sendiri.
Artinya, perangkat yang terinfeksi tetap membawa risiko. Selama pintu belakang masih ada, perangkat tersebut berpotensi dimanfaatkan kembali bila pelaku kejahatan berhasil membangun infrastruktur pengendali baru. Koneksi internet rumah pemiliknya juga pernah digunakan tanpa izin untuk penipuan iklan dan jaringan proxy.
Masalah lain adalah Google tidak menerbitkan daftar merek atau nomor model yang mudah dipahami konsumen. Laporan Google memang menyebut Videostrong sebagai pembuatnya dan mengaitkan konfigurasi pintu belakang dengan pemutar YokaTV, tetapi tidak ada daftar belanja yang bisa dipakai pembeli untuk memeriksa apakah perangkat yang mereka miliki termasuk yang terinfeksi.
Di Indonesia, Android TV box murah banyak beredar di toko daring dengan berbagai merek. Pengguna yang membeli perangkat tanpa merek jelas atau dengan harga yang jauh di bawah pasaran perlu lebih waspada, karena perangkat semacam itulah yang paling banyak ditemukan dalam botnet XCPE.
Cara Mengurangi Risiko Perangkat Android TV Box Terinfeksi
Langkah paling aman bagi pemilik perangkat yang diduga terinfeksi adalah menghentikan pemakaiannya dan menggantinya dengan perangkat dari merek resmi yang memiliki sertifikasi Google. Perangkat bersertifikat melewati proses pengujian keamanan dan menerima pembaruan perangkat lunak resmi dari pabrikannya.
Bila belum bisa mengganti perangkat, pengguna sebaiknya tidak memasukkan data sensitif apa pun melalui perangkat tersebut, seperti kata sandi, akun perbankan, atau akun surel. Perangkat juga sebaiknya tidak digunakan untuk masuk ke layanan berbayar yang menyimpan data kartu pembayaran.
Pengguna juga dapat memeriksa pengaturan perangkat untuk melihat aplikasi yang terpasang dan mencurigakan, meski cara ini tidak menjamin pintu belakang XCPE bisa ditemukan karena program itu bersembunyi di tingkat firmware. Memutuskan perangkat dari jaringan internet saat tidak digunakan juga dapat mengurangi peluang penyalahgunaan koneksi.
Yang terpenting, belilah perangkat televisi pintar atau TV box dari merek yang jelas asal-usulnya dan memiliki dukungan pembaruan perangkat lunak. Harga murah tidak sebanding dengan risiko perangkat yang diam-diam bekerja untuk pelaku kejahatan siber.
Kasus XCPE menjadi pengingat bahwa ancaman siber tidak selalu datang dari tautan atau lampiran berbahaya. Kadang ancaman itu sudah menunggu di dalam kotak kemasan, terpasang rapi di firmware perangkat yang baru dibeli, dan bekerja diam-diam selama bertahun-tahun sebelum akhirnya terungkap.
