ACEH — Google memutus seluruh kerja sama dengan produsen perangkat keras asal Shenzhen, Videostrong Technology, setelah perusahaan itu terbukti sengaja menanamkan backdoor XCPE pada firmware lebih dari 1,3 juta perangkat Android TV box dan IoT di seluruh dunia. Sanksi mencakup larangan total bagi Videostrong dan seluruh anak perusahaannya untuk membuat perangkat bersertifikasi Android maupun memasok perangkat lunak ke vendor Android lain. Kasus ini membuka mata soal risiko supply chain attack yang datang langsung dari pabrikan resmi perangkat.
Penyelidikan Google Threat Intelligence Group bersama lembaga riset siber Synthient menemukan setidaknya 182 model perangkat yang terinfeksi backdoor XCPE. Selain set-top box populer seperti Mecool KTI dan perangkat TV box white-label, malware juga ditemukan pada mesin karaoke, papan iklan digital, hingga perangkat kesehatan digital.
Laporan TrendMicro bahkan mencatat jumlah perangkat terinfeksi bisa menyentuh 1,47 juta unit yang tersebar di lebih dari 170 negara. Sejumlah negara yang terdampak antara lain Amerika Serikat, Australia, Jerman, Brasil, Malaysia, dan Taiwan.
Modus Penyamaran Kode di Balik Sertifikasi Google
Untuk meloloskan malware dari proses pengujian sertifikasi Google, Videostrong memakai teknik penyamaran kode yang rapi. Malware dirancang tetap tertidur selama proses evaluasi dan baru aktif otomatis setelah pengguna pertama kali menyalakan perangkat.
Setelah aktif, malware mematikan fitur keamanan Google Play Protect dan mengambil alih hak akses sistem setara sistem operasi. Dari titik itu, perangkat korban dimasukkan ke jaringan botnet global.
Apa yang Bisa Dilakukan Botnet XCPE ke Perangkat Korban
Perangkat yang sudah dikuasai bisa dipakai untuk penipuan iklan, pencurian data pribadi, perekaman tombol ketik, hingga pengambilan tangkapan layar secara langsung. Perangkat juga bisa dijadikan node proxy ilegal.
Analisis menunjukkan Videostrong tidak hanya menjalankan botnet untuk kepentingan sendiri. Perusahaan menyewakan akses backdoor kepada sindikat kejahatan siber internasional demi keuntungan finansial.
Peretas pihak ketiga dapat menyuntikkan modul malware tambahan ke perangkat korban. Dalam beberapa kasus, satu Android TV box terbukti menjalankan hingga tiga layanan proxy perumahan ilegal sekaligus tanpa sepengetahuan pemiliknya.
Operasi Gabungan Lumpuhkan Server Command-and-Control
Google menggandeng kepolisian internasional dan sejumlah perusahaan keamanan siber untuk melumpuhkan jaringan botnet XCPE. Mitra yang terlibat mencakup Kepolisian Nasional Jepang (NPA), Lumen, HUMAN Security, Plume, Synthient, dan TrendAI.
Operasi bersama itu menyita dan menutup domain command-and-control (C2) milik peretas. Google juga memperbarui sistem pengujian sertifikasi Android agar integritas firmware perangkat IoT dan TV box tidak mudah dimanipulasi pabrikan.
Dampak bagi Pengguna Android TV Box di Indonesia
Perangkat TV box white-label banyak beredar di pasar lokal, termasuk lewat marketplace dan toko elektronik online. Pengguna yang memakai perangkat merek tak jelas sebaiknya memeriksa rekam jejak produsen sebelum menghubungkannya ke jaringan internet rumah atau kantor.
Kasus Videostrong menjadi peringatan keras bagi konsumen dan pelaku industri soal pentingnya verifikasi produsen perangkat keras. Ancaman siber kali ini datang langsung dari pabrikan resmi, bukan dari aplikasi pihak ketiga yang diunduh pengguna.
