Botnet XCPE Menjangkiti 1,3 Juta Android TV Box

Lebih dari 1,3 juta Android TV box dan perangkat internet of things (IoT) diduga telah terhubung ke botnet setelah firmware buatan Videostrong Technology disusupi backdoor XCPE. Google memutus hubungan dengan produsen perangkat asal Shenzhen, China, itu dan melarangnya membuat produk bersertifikasi Android.

Kasus ini memperlihatkan risiko yang sulit dikenali pengguna: perangkat yang tampak resmi bisa membawa ancaman sejak keluar dari pabrik. Menurut laporan detikINET yang mengutip TechSpot, perangkat terinfeksi tersebar di berbagai negara dan mencakup setidaknya 182 model.

XCPE baru aktif setelah perangkat dinyalakan

Penyelidikan Google Threat Intelligence Group bersama perusahaan riset keamanan Synthient menemukan backdoor tertanam dalam firmware. Perangkat yang terdampak bukan hanya set-top box, termasuk produk Mecool KTI dan model tanpa merek yang dibuat untuk pihak lain. Mesin karaoke, papan iklan digital, serta perangkat kesehatan digital juga masuk dalam temuan.

XCPE dirancang agar tidak mudah terdeteksi saat perangkat menjalani pemeriksaan sertifikasi. Kode berbahaya disamarkan, lalu tetap tidak aktif selama evaluasi. Malware baru bekerja setelah perangkat pertama kali dinyalakan oleh pengguna.

Setelah aktif, XCPE dilaporkan menonaktifkan Google Play Protect dan mengambil hak akses setingkat sistem operasi. Kendali sedalam itu memungkinkan pelaku menjalankan perintah tanpa sepengetahuan pemilik perangkat. Perangkat kemudian dapat dimasukkan ke jaringan botnet, yaitu kumpulan perangkat yang dikendalikan dari jarak jauh.

Fungsi botnet tersebut beragam. Perangkat bisa dipakai untuk penipuan iklan, pencurian informasi pribadi, merekam ketikan, mengambil tangkapan layar, atau menjadi titik perantara koneksi internet ilegal. Aktivitas itu dapat berlangsung di perangkat yang sehari-hari digunakan untuk menonton televisi atau menjalankan fungsi lain di rumah dan tempat usaha.

Akses backdoor diduga disewakan ke sindikat

Laporan yang dikutip detikINET menyebut Videostrong tidak hanya memakai jaringan tersebut untuk kepentingannya sendiri. Akses ke backdoor juga diduga disewakan kepada kelompok kejahatan siber internasional demi memperoleh keuntungan.

Penyewa dapat memasukkan modul malware tambahan ke perangkat yang sudah terinfeksi. Dalam sejumlah kasus, satu Android TV box diketahui menjalankan hingga tiga layanan proxy perumahan ilegal sekaligus. Pemilik perangkat kemungkinan tidak melihat aktivitas itu saat menggunakan fungsi utama alatnya.

Besarnya jaringan juga memiliki dua angka dalam laporan. Temuan awal menyebut lebih dari 1,3 juta perangkat terinfeksi. Sementara itu, analisis TrendMicro memperkirakan jumlahnya dapat mencapai 1,47 juta unit dan menjangkau lebih dari 170 negara. Perbedaan tersebut mencerminkan hasil penghitungan yang dilaporkan masing-masing pihak, bukan angka tunggal yang dipastikan dalam bahan laporan.

Perangkat yang terdeteksi tersebar, antara lain, di Amerika Serikat, Australia, Jerman, Brasil, Malaysia, dan Taiwan. Cakupan lintas negara itu membuat kasus ini melampaui persoalan keamanan satu merek atau satu jenis perangkat.

Google tutup domain kendali dan perketat sertifikasi

Untuk mengganggu operasi botnet, Google bekerja bersama kepolisian dan perusahaan keamanan siber. Mitra yang disebut dalam laporan meliputi Kepolisian Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, serta TrendAI. Upaya mereka mencakup penyitaan dan penutupan domain yang digunakan sebagai pusat kendali atau command-and-control (C2).

Google juga menjatuhkan sanksi kepada Videostrong dan seluruh anak perusahaannya. Perusahaan itu tidak lagi diizinkan membuat perangkat bersertifikasi Android maupun memasok perangkat lunak kepada vendor Android lain. Google menyatakan akan memperbarui proses pengujian sertifikasi untuk memeriksa integritas firmware pada TV box dan perangkat IoT.

Bagi konsumen, asal-usul dan rekam jejak produsen menjadi pertimbangan saat memilih perangkat yang akan tersambung ke jaringan rumah atau kantor. Kasus XCPE menunjukkan bahwa pemeriksaan keamanan tidak cukup hanya mengandalkan tampilan perangkat atau fungsi yang terlihat oleh pengguna.

Langkah lanjutan yang diumumkan Google adalah memperkuat pengujian sertifikasi. Sementara itu, penutupan domain kendali bersama mitra keamanan diarahkan untuk melumpuhkan jaringan yang sudah terbentuk.