Google TV box blokir botnet XCPE setelah lebih dari 1,3 juta perangkat Android TV ditemukan menjadi bagian jaringan kriminal. Google memutus server kendali, melarang produsen Videostrong, dan memperkuat pemeriksaan perangkat bersertifikasi.
Google pada Senin, 9 November 2026, masih menindaklanjuti pengungkapan besar soal botnet XCPE yang menyerang perangkat Android TV. Lebih dari 1,3 juta TV box telah dijadikan bagian jaringan terdistribusi yang dimanfaatkan untuk kejahatan siber, termasuk penipuan iklan dan penyebaran malware tambahan.
Langkah utama Google adalah memblokir domain serta server command-and-control atau C2. Server tersebut menjadi pusat perintah yang menghubungkan perangkat terinfeksi dengan operator botnet. Setelah infrastruktur itu dimatikan, perangkat tidak lagi menerima instruksi baru dari jaringan XCPE.
Google menyatakan tindakan tersebut dilakukan bersama Kepolisian Nasional Jepang serta sejumlah perusahaan keamanan siber, antara lain Lumen, HUMAN Security, Plume, Synthient, dan TrendAI. Pihaknya juga mengambil langkah hukum untuk menutup server dan domain yang dipakai Videostrong Technology, produsen Android TV box asal Shenzhen, Tiongkok.
Google TV Box Blokir Botnet XCPE
Botnet adalah kumpulan perangkat yang telah terinfeksi malware dan dapat dikendalikan dari jarak jauh oleh pelaku kejahatan siber. Dalam kasus ini, TV box Android tidak hanya dipakai menonton konten, tetapi juga berpotensi menjadi jalur bagi aktivitas ilegal tanpa diketahui pemiliknya.
Google Threat Intelligence Group menyebut backdoor XCPE telah tertanam langsung pada firmware sejumlah perangkat. Backdoor itu memungkinkan pihak tertentu mengunduh modul malware, menjalankan penipuan iklan, serta menjadikan perangkat sebagai proxy residensial ilegal.
Proxy residensial adalah metode di mana lalu lintas internet penyerang disamarkan seolah-olah berasal dari jaringan rumah atau perangkat pengguna biasa. Teknik ini sering dipakai untuk menyembunyikan jejak aktivitas kriminal dan menghindari pemblokiran sistem keamanan.
Google menilai kasus ini bukan sekadar kesalahan teknis dari satu pegawai. Perusahaan menyebut malware tersebut dibangun ke dalam banyak model dan merek perangkat selama beberapa tahun, dengan infrastruktur khusus serta konfigurasi yang terus berubah untuk menghindari deteksi.
“Kami yakin kampanye ini bukan aksi orang dalam yang liar atau kelalaian pengembangan. Google telah memutus kerja sama dengan Videostrong dan melarang perusahaan tersebut membuat perangkat dengan aplikasi Google yang telah dimuat sebelumnya,” tulis Google Threat Intelligence Group dalam pengumuman resminya.
Videostrong Dilarang Buat Perangkat Android
Google tidak hanya memutus jaringan botnet. Perusahaan juga mengakhiri hubungan kerja sama dengan Videostrong dan mencabut haknya untuk memproduksi perangkat Android TV yang dilengkapi aplikasi serta layanan Google.
Larangan itu berlaku bagi Videostrong, termasuk anak perusahaan maupun afiliasinya di masa depan. Mereka dilarang membuat atau menjual perangkat Android bersertifikasi serta memasok perangkat lunak kepada produsen bersertifikasi lain.
Langkah ini penting karena sertifikasi Android umumnya menjadi tanda bahwa perangkat telah melalui pemeriksaan tertentu dan mendukung layanan resmi Google. Kasus XCPE menunjukkan bahwa proses verifikasi perlu diperkuat, terutama terhadap kode yang disembunyikan di firmware.
Google mengakui bahwa teknik obfuscation atau penyamaran kode membuat malware sulit terdeteksi pada pemeriksaan awal. Karena itu, perusahaan kini memperbarui proses peninjauan dan memperkuat pemeriksaan integritas firmware pada perangkat Android TV bersertifikasi.
10 Juta Perangpot Lain Terdampak
Dampak operasi ini diperkirakan lebih luas daripada 1,3 juta TV box yang terhubung langsung ke XCPE. Google memperkirakan penutupan domain C2 juga memutus akses pelaku kejahatan terhadap setidaknya 10 juta perangkat lain yang terinfeksi melalui jalur distribusi berbeda.
Angka tersebut menunjukkan bahwa XCPE bukan hanya masalah pada satu merek TV box. Malware yang dibawa melalui backdoor tersebut juga terhubung dengan lebih dari selusin keluarga malware lain yang memakai infrastruktur kendali serupa.
Namun, mematikan server tidak serta-merta membersihkan perangkat yang telah terinfeksi. Laporan keamanan menyebut backdoor XCPE tetap berada pada perangkat yang sudah terjual karena kode tersebut berjalan sebagai aplikasi sistem dan ditandatangani dengan kunci produsen.
Google menjelaskan bahwa malware dapat menginstal ulang dirinya dari partisi /oem/ meski pengguna berusaha menghapusnya. Oleh sebab itu, pengguna perlu memasang firmware bersih dari sumber resmi atau memutus perangkat dari internet bila tidak dapat memperbarui sistem.
Apa yang Harus Dilakukan Pengguna
Bagi pengguna Android TV box atau Google TV box, langkah paling aman adalah memeriksa merek, model, dan sumber pembelian perangkat. Google belum merilis daftar lengkap seluruh model yang terdampak, sehingga pengguna perlu mengikuti pembaruan resmi dari produsen dan Google.
- Perbarui firmware hanya melalui menu pembaruan resmi perangkat atau situs produsen yang terverifikasi.
- Hindari memasang aplikasi dari sumber tidak resmi, terutama APK yang menawarkan aplikasi streaming berbayar secara gratis.
- Matikan atau putuskan TV box dari internet bila perangkat berperilaku mencurigakan dan firmware bersih belum tersedia.
- Gunakan kata sandi kuat serta aktifkan verifikasi dua langkah pada akun Google yang masuk ke perangkat.
- Pertimbangkan mengganti perangkat bila produsen tidak merilis pembaruan keamanan atau firmware bersih.
Google menegaskan bahwa infeksi ini tidak berasal dari pengguna yang mengunduh aplikasi berbahaya atau mengeklik tautan mencurigakan. Malware justru telah tertanam sebelum perangkat sampai ke tangan konsumen.
Kasus ini menjadi pelajaran penting bagi pasar perangkat streaming murah. Konsumen perlu lebih teliti memilih TV box resmi, memeriksa reputasi produsen, dan memastikan perangkat menerima pembaruan keamanan jangka panjang.
Google menyebut tindakan blokir botnet ini sebagai pelanggaran kepercayaan yang serius. Meski server XCPE telah diputus, pemulihan penuh tetap bergantung pada pembaruan firmware yang benar dan tindakan pengguna untuk menjaga perangkat tetap aman.
