BANTEN — Google memimpin pembongkaran botnet proxy residensial berisi lebih dari 1,3 juta set-top box Android TV yang terinfeksi malware XCPE. Produsen perangkat asal China, Videostrong, diduga sengaja menanam malware di perangkatnya lalu menjual akses botnet ke penjahat siber. Google mencabut sertifikasi Android perusahaan tersebut dan memblokirnya dari ekosistem.
Operasi gabungan yang melibatkan Google, Badan Kepolisian Nasional Jepang, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI berhasil melumpuhkan infrastruktur kendali botnet tersebut. Google menyita domain dan server command-and-control (C2) yang dipakai Videostrong untuk mengendalikan perangkat korban dan menyuntikkan modul malware tambahan.
Yang membuat kasus ini berbeda dari serangan rantai pasok biasa: Videostrong merupakan produsen perangkat Android bersertifikat resmi (OEM dan ODM). Konsumen membeli produk yang tampak legal dari perusahaan yang telah lolos verifikasi Google, tanpa tahu perangkat mereka dibekali backdoor sejak awal.
Bagaimana Malware XCPE Bekerja
XCPE bukan sekadar malware biasa. Backdoor ini berfungsi sebagai dropper yang mengunduh modul tambahan, dipakai untuk penipuan iklan (ad fraud), dan memasukkan perangkat ke jaringan proxy residensial ilegal. Set-top box yang terinfeksi otomatis menyewakan bandwidth penggunanya ke pihak ketiga tanpa sepengetahuan pemilik.
Jaringan proxy residensial sendiri menjadi komoditas berharga di kalangan pelaku ancaman. Akses ke perangkat rumahan dipakai untuk meluncurkan serangan DDoS, menyamarkan alamat IP saat beroperasi, menjalankan credential stuffing massal, menembus pembatasan geografis, hingga scraping situs web dalam skala besar.
Modus Videostrong: Jual Perangkat, Jual Akses Botnet
Google menyebut Videostrong menjalankan dua bisnis sekaligus. Di permukaan, perusahaan menjual smartphone dan perangkat Android lain yang tampak normal. Di balik layar, Videostrong menjual akses ke botnet yang terbentuk dari perangkat pelanggannya sendiri kepada penjahat siber.
Perusahaan itu bahkan aktif mengembangkan malware dan menyamarkan keberadaannya dari pengawasan Google. "A device manufacturer intentionally infecting their users with malware is an unacceptable breach of trust, and represents a serious risk to those users," tulis Google dalam blog resminya, seperti dikutip dari laporan TechRadar.
Nilai keuntungan yang diraup Videostrong dari praktik ini belum diketahui publik, begitu pula identitas pihak yang membeli akses botnet tersebut.
Sanksi Google dan Perbaikan Sistem Verifikasi
Google menjatuhkan sanksi berat: Videostrong beserta seluruh anak perusahaan dan afiliasinya di masa depan dilarang memproduksi dan menjual perangkat Android, serta dilarang memasok software ke vendor bersertifikat lain. Sertifikasi Android perusahaan tersebut dicabut permanen.
Videostrong ternyata memakai teknik obfuscation untuk mengeksploitasi celah dalam pengujian Google, lalu memuat kode berbahaya setelah perangkat melakukan boot pertama. Google mengaku telah memperketat pemeriksaan integritas firmware untuk perangkat Android TV bersertifikat, serta mengubah proses review guna mencegah kejadian serupa.
"Google requires OEMs go through a comprehensive suite of compatibility and security tests to ensure a consistent and safe user experience across the Android ecosystem," tegas Google dalam pernyataannya.
Bukan Kasus Pertama Malware Bawaan Pabrik
Insiden ini menambah daftar panjang perangkat elektronik yang dijual dengan malware menempel sejak dari pabrik. Bulan lalu, peneliti keamanan Bitdefender menemukan ponsel Android dari sejumlah produsen, termasuk Doogee dan Cubot, dijual dengan malware preinstalled.
Bedanya, pada kasus Doogee dan Cubot, rantai pasok mereka diretas dan malware disisipkan tanpa sepengetahuan atau persetujuan produsen. Sementara Videostrong diduga melakukannya secara sengaja dan terencana.
Bagi pengguna di Indonesia yang memakai Android TV box merek lokal atau impor murah, kasus ini jadi pengingat untuk memeriksa asal-usul perangkat. Set-top box tanpa sertifikasi resmi dan dijual dengan harga jauh di bawah pasar sebaiknya dicurigai, terutama yang tidak mencantumkan produsen jelas di kemasannya.
