Google Putus dengan Videostrong, Backdoor di 1,3 Juta Kotak Android TV Diyakini Disengaja

Label "bersertifikat Google" pada kotak Android TV semestinya menenangkan pembeli. Kali ini, menurut Google sendiri, pabrikan yang memegang sertifikat itulah yang menanam pintu belakangnya.

Google memutus hubungan dengan Videostrong, produsen Android TV box asal Shenzhen, China, setelah menyimpulkan perusahaan itu sengaja memasang backdoor pada perangkatnya dan menjual aksesnya kepada penjahat siber. Pengumuman tersebut dilaporkan 9to5Google pada Senin (2/11/2026). Botnet bernama x.cpe, yang berisi lebih dari 1,3 juta perangkat Android, kehilangan server kendalinya pada akhir Oktober, menurut The Hacker News. Google memperkirakan operasi itu juga memutus akses penjahat ke setidaknya 10 juta perangkat terinfeksi lain.

Aplikasi Sistem yang Mematikan Pemeriksaan Play Protect

x.cpe berjalan sebagai aplikasi sistem dengan akses tingkat sistem dan melapor ke server kendali. Ia menonaktifkan pemeriksaan Google Play Protect agar aplikasi lain bisa dipasang secara diam-diam. Operator bisa memasang aplikasi, menjalankan perintah, mengambil tangkapan layar, dan memetakan jaringan. Google juga melihat penggunaan reverse shell dan pengambilan kredensial akun.

Sebagian besar modulnya mengubah perangkat menjadi residential proxy atau menjual bandwidth. Modul lain memalsukan tayangan iklan.

Jejak yang Mengarah ke Videostrong

Google mengaku "highly confident" bahwa Videostrong sengaja menanam backdoor dan menjual akses ke kriminal. Dasarnya, x.cpe meneruskan pengaturan dari server kendali ke aplikasi milik Videostrong, termasuk YokaTV Player, dan salah satu akun GitHub yang menjadi host paket botnet bernama yf-videostrong.

Peneliti Synthient menemukan dokumen yang ditandatangani direktur riset dan pengembangan Videostrong di server botnet, serta domain web Videostrong yang berbagi alamat IP dengan panel kendali operator. Plume, perusahaan keamanan jaringan rumah, menemukan bahwa Videostrong memasok firmware sekaligus alat manajemen jarak jauh. Semua temuan ini berasal dari pihak yang terlibat dalam operasi; sumber yang dirujuk tidak memuat tanggapan Videostrong.

Lebih dari 1,47 Juta Perangkat dari 206 Model

Hitungan TrendAI berbeda dari angka 1,3 juta. Lembaga itu mencatat 1.472.554 perangkat terinfeksi dari 206 model antara 3 Juni dan 1 Oktober. Malaysia, Brasil, Irak, Meksiko, dan Taiwan menjadi negara terbanyak. Amerika Serikat, Jerman, Inggris, Australia, dan Kanada masing-masing sekitar 26.000 sampai 42.000 perangkat.

Synthient menerbitkan daftar 182 nama model, dengan catatan bahwa nama model saja tidak memastikan sebuah perangkat terinfeksi. Risetnya berfokus pada merek MECOOL; peneliti membeli satu unit KM9PRO Max yang sudah membawa backdoor.

Celah di Pengujian Sertifikasi Google

Google mewajibkan produsen menjalani pengujian kompatibilitas dan keamanan. Videostrong dituduh menyembunyikan kode dengan teknik obfuscation untuk melewati celah pengujian, lalu memuat kode berbahaya setelah perangkat pertama kali menyala. Google mengakui kelemahan itu dan telah mengubah proses peninjauannya.

Sanksinya: Videostrong dan anak perusahaannya dilarang menjual perangkat Android bersertifikat serta memasok perangkat lunak ke produsen bersertifikat lain. Google menegaskan, "a device manufacturer intentionally infecting their users with malware is an unacceptable breach of trust." Per 2 November, situs Videostrong masih mencantumkan produk "Google Certified Android TV Box". Google belum menyebut berapa perangkat bersertifikat yang terdampak.

Backdoor Menempel di Firmware, Saran Pengguna Terbelah

Karena x.cpe bagian dari firmware, menghapusnya tidak bertahan: backdoor muncul lagi setelah perangkat dinyalakan ulang. TrendAI menyebut pembersihan memerlukan "vendor action, platform protection or replacement of the device".

Saran pun berbeda. Plume menganjurkan factory reset tetapi tidak memastikan reset menghapus x.cpe. Synthient menyarankan konsumen membuang perangkat itu. 9to5Google menulis penutupan domain seharusnya membuat perangkat terdampak aman dipakai, tetapi pemilik tetap disarankan mempertimbangkan opsi lain.

Yang masih terbuka adalah dua hal: berapa banyak perangkat bersertifikat yang benar-benar terdampak, dan apakah Videostrong akan menanggapi tuduhan itu.