Google Putus Botnet XCPE di Android TV, 1,3 Juta Terdampak

Lebih dari 1,3 juta perangkat Android TV set-top box terdampak botnet XCPE yang dibongkar Google setelah malware diduga ditanam langsung ke firmware oleh produsen perangkat asal Tiongkok, Videostrong Technology. Dilansir dari Medcom, akses ke perangkat itu kemudian diduga dijual untuk penipuan iklan, pencurian data, dan penyalahgunaan jaringan. Menurut Google Threat Intelligence Group, pola serangan ini berbeda dari kasus malware biasa karena infeksi tidak berasal dari aplikasi yang diunduh pengguna.

Kode berbahaya justru sudah disematkan ke perangkat sejak tahap produksi. Google menyatakan Videostrong Technology diduga memanfaatkan akses atas perangkat buatannya untuk menjalankan operasi botnet dan meraih keuntungan finansial. Akses ke perangkat terinfeksi disebut dijual kepada kelompok penjahat siber untuk berbagai aktivitas ilegal.

Backdoor XCPE ditanam pada firmware, yaitu perangkat lunak dasar yang mengendalikan fungsi perangkat keras. Menurut Medcom, celah tersembunyi itu memungkinkan operator mengakses perangkat dari jarak jauh, lalu mengunduh serta memasang malware tambahan tanpa sepengetahuan pemilik.

Google juga menemukan teknik penyamaran kode dipakai agar komponen berbahaya lolos dari pemeriksaan keamanan saat proses sertifikasi Android. Setelah perangkat pertama kali dinyalakan dan tersambung ke internet, komponen malware dapat diunduh sehingga perangkat yang sudah bersertifikasi tetap bisa masuk ke jaringan botnet. Risiko bertambah karena sumber infeksi berada pada tingkat sistem. Penghapusan malware tambahan oleh pengguna belum tentu menghilangkan backdoor utama, sehingga perangkat berpotensi kembali memasang komponen berbahaya selama akses dasarnya masih aktif.

Menurut Google, infeksi tidak terbatas pada satu model atau satu merek. Selain mayoritas menyerang Android TV set-top box, XCPE juga ditemukan pada perangkat telehealth, mesin karaoke, dan papan informasi digital. Perangkat yang sudah dikuasai lalu dipakai untuk sejumlah kejahatan siber. Google mengidentifikasi pemanfaatannya untuk penipuan iklan digital, jaringan residential proxy, pengambilan informasi dari perangkat, serta pemasangan modul berbahaya tambahan.

Dalam skema residential proxy, koneksi internet rumah milik pengguna dipakai untuk meneruskan lalu lintas pihak lain. Akibatnya, aktivitas pelaku bisa tampak berasal dari alamat internet milik pemilik perangkat. Untuk menghentikan operasi XCPE, Google bekerja sama dengan otoritas penegak hukum Jepang serta sejumlah perusahaan keamanan siber, termasuk Lumen, HUMAN Security, Plume, Synthient, dan TrendAI.

Langkah itu disertai tindakan hukum untuk menonaktifkan domain dan server yang dipakai mengendalikan perangkat serta mendistribusikan malware. Google juga melarang Videostrong Technology dan afiliasinya memproduksi perangkat Android bersertifikasi Google maupun memasok perangkat lunak ke produsen bersertifikasi lain. Selain itu, perusahaan memperketat pemeriksaan dan sertifikasi perangkat Android untuk mendeteksi penyisipan kode berbahaya di firmware.

Menurut Google, pemutusan akses ke server yang terkait operasi ini diperkirakan menghentikan kendali atas sedikitnya 10 juta perangkat tambahan yang telah terkompromi. Namun, malware yang sudah tertanam pada firmware tidak otomatis hilang, sehingga perangkat yang pernah terinfeksi tetap menyimpan risiko keamanan.