Berbeda dari serangan malware yang umumnya terjadi akibat pengguna mengunduh aplikasi berbahaya, infeksi dalam kasus ini berasal dari software yang telah disematkan langsung oleh produsen ke dalam sistem perangkat.
Mengutip Digital Trends, Google Threat Intelligence Group (GTIG) menemukan bahwa Videostrong Technology memanfaatkan akses terhadap perangkat yang diproduksinya untuk menjalankan operasi botnet dan memperoleh keuntungan finansial.
Google menyebut produsen tersebut menjual akses ke perangkat yang terinfeksi kepada kelompok penjahat siber. Akses tersebut kemudian dimanfaatkan untuk berbagai aktivitas ilegal, dari penipuan iklan digital hingga pencurian data dan pengalihan lalu lintas internet melalui koneksi milik pengguna.
Menanggapi temuan tersebut, Google memutuskan hubungan kerja sama dengan Videostrong Technology dan melarang perusahaan beserta afiliasinya memproduksi perangkat Android bersertifikasi Google maupun memasok software kepada produsen perangkat bersertifikasi lainnya.
Google juga bekerja sama dengan sejumlah perusahaan keamanan siber dan otoritas penegak hukum Jepang untuk memutus infrastruktur yang digunakan dalam pengoperasian botnet tersebut.
Malware Ditanam Langsung ke Firmware Android TV
Botnet XCPE memanfaatkan celah akses tersembunyi atau backdoor yang ditanamkan langsung ke dalam firmware perangkat Android TV. Sebagai informasi, firmware merupakan software dasar yang mengendalikan fungsi perangkat keras dan memungkinkan sistem operasi berinteraksi dengan komponen elektronik di dalamnya.Dalam kasus ini, backdoor tersebut memungkinkan operator botnet mengakses perangkat dari jarak jauh serta mengunduh dan memasang malware tambahan tanpa sepengetahuan pemiliknya. Menurut Google, Videostrong Technology menggunakan teknik penyamaran kode atau obfuscation untuk menghindari pemeriksaan keamanan yang diterapkan dalam proses sertifikasi perangkat Android.
Teknik tersebut memungkinkan kode berbahaya tidak terdeteksi dalam pengujian awal, kemudian mengunduh komponen malware setelah perangkat pertama kali dinyalakan dan terhubung ke internet. Dengan mekanisme tersebut, perangkat yang sebelumnya telah memperoleh sertifikasi Google tetap dapat digunakan sebagai bagian dari jaringan botnet.
Salah satu karakteristik berbahaya dari XCPE adalah kemampuannya mempertahankan akses terhadap perangkat melalui komponen yang tertanam pada tingkat sistem. Artinya, penghapusan malware tambahan oleh pengguna belum tentu dapat menghilangkan sumber infeksi.
Selama backdoor utama masih aktif, perangkat berpotensi kembali mengunduh dan memasang komponen berbahaya. Selain itu, Google menemukan bahwa malware tersebut tidak hanya terdapat pada satu model perangkat.
Backdoor XCPE telah disematkan pada berbagai model dan merek perangkat selama beberapa tahun. Sebagian besar perangkat yang terdampak merupakan Android TV set-top box. Namun, Google juga mengidentifikasi infeksi pada perangkat berbasis Android lainnya, termasuk perangkat telehealth, mesin karaoke, dan perangkat papan informasi digital atau digital signage.
Temuan tersebut menunjukkan bahwa ancaman keamanan dari XCPE tidak terbatas pada perangkat hiburan rumah, tetapi juga menjangkau kategori perangkat Internet of Things (IoT) lainnya.
Perangkat Terinfeksi Dimanfaatkan untuk Kejahatan Siber
Setelah berhasil menginfeksi perangkat, operator botnet XCPE dapat memasang berbagai modul malware sesuai kebutuhan kelompok yang membeli akses tersebut. Google menemukan bahwa perangkat yang terinfeksi dimanfaatkan untuk sejumlah aktivitas berbahaya, termasuk penipuan iklan digital atau advertising fraud.Dalam praktiknya, malware dapat menjalankan aktivitas iklan secara tersembunyi untuk menghasilkan interaksi palsu tanpa keterlibatan pengguna. Aktivitas tersebut berpotensi merugikan pengiklan karena sistem periklanan mencatat interaksi yang sebenarnya tidak dilakukan oleh manusia.
Selain penipuan iklan, perangkat yang terinfeksi juga digunakan sebagai bagian dari jaringan residential proxy. Melalui mekanisme ini, koneksi internet rumah milik pengguna dimanfaatkan untuk meneruskan lalu lintas jaringan pihak lain.
Akibatnya, aktivitas yang dilakukan penjahat siber dapat terlihat seolah-olah berasal dari alamat internet milik pengguna perangkat. Pemanfaatan koneksi tersebut memungkinkan pelaku menyamarkan asal lalu lintas internet dan menjalankan aktivitas tanpa sepengetahuan pemilik jaringan.
Google juga mengidentifikasi kemampuan malware untuk mengambil informasi dari perangkat yang terinfeksi serta memasang komponen berbahaya tambahan. Keberadaan berbagai modul tersebut memungkinkan satu perangkat dimanfaatkan untuk lebih dari satu aktivitas ilegal secara bersamaan.
Google menilai operasi tersebut sengaja dikembangkan untuk menghasilkan keuntungan finansial, bukan sekadar kesalahan dalam proses pengembangan software. Perusahaan teknologi ini menemukan bahwa infrastruktur XCPE terus mengalami perubahan konfigurasi dan pengembangan kemampuan untuk menghindari deteksi serta mendukung aktivitas kelompok penjahat siber yang memanfaatkan jaringan tersebut.
Google Putus Akses ke Jutaan Perangkat
Untuk menghentikan operasi botnet XCPE, Google bekerja sama dengan sejumlah organisasi keamanan dan penegak hukum, termasuk Japan's National Police Agency, Lumen, HUMAN Security, Plume, Synthient, dan TrendAI.Melalui kerja sama tersebut, Google mengambil langkah hukum untuk menonaktifkan domain dan server yang digunakan Videostrong Technology dalam mengendalikan perangkat serta mendistribusikan malware.
Google juga menargetkan server command-and-control atau C2 yang digunakan kelompok penjahat siber untuk mengoperasikan modul malware tambahan. Server C2 merupakan infrastruktur yang memungkinkan operator serangan mengirimkan perintah dan mengendalikan perangkat yang telah terinfeksi dari jarak jauh.
Menurut Google, pemutusan akses terhadap server yang digunakan kelompok terkait diperkirakan dapat menghentikan kendali mereka atas sedikitnya 10 juta perangkat tambahan yang telah terkompromi. Namun, angka tersebut tidak berarti seluruh perangkat merupakan bagian langsung dari botnet XCPE.
Perkiraan 10 juta perangkat mencakup perangkat lain yang terinfeksi melalui jalur distribusi malware milik kelompok penjahat siber yang berkaitan dengan operasi tersebut. Kendati infrastruktur pengendali berhasil dinonaktifkan, Google mengingatkan bahwa komponen malware yang telah tertanam pada perangkat tidak otomatis terhapus.
Dengan demikian, perangkat yang sebelumnya terinfeksi masih memerlukan perhatian karena keberadaan kode berbahaya di dalam firmware dapat menimbulkan risiko keamanan apabila kembali memperoleh akses ke infrastruktur berbahaya.
Google juga memperbarui proses pemeriksaan dan sertifikasi perangkat Android untuk memperkuat deteksi terhadap upaya penyisipan kode berbahaya dalam firmware. Perubahan tersebut ditujukan untuk mencegah produsen memanfaatkan celah dalam mekanisme pengujian keamanan guna mendistribusikan perangkat yang telah disusupi malware.
Cara Melindungi Android TV dari Ancaman Botnet
Pengungkapan kasus XCPE memperlihatkan bahwa risiko keamanan perangkat Android tidak hanya berasal dari aplikasi yang diunduh pengguna, tetapi juga dapat muncul dari software bawaan yang disediakan produsen.Dalam kasus Videostrong Technology, perangkat yang telah melalui proses sertifikasi sekalipun diketahui dapat mengandung komponen berbahaya akibat teknik penyamaran yang digunakan untuk menghindari pemeriksaan keamanan.
Google menyarankan konsumen memilih perangkat dari produsen tepercaya serta memastikan fitur Google Play Protect tetap diaktifkan. Google Play Protect merupakan sistem perlindungan keamanan Android yang dirancang untuk memeriksa aplikasi dan mendeteksi potensi software berbahaya.
Pengguna juga disarankan memperhatikan asal perangkat dan reputasi produsen sebelum membeli Android TV set-top box, terutama perangkat yang dipasarkan dengan harga sangat murah atau tidak memiliki informasi dukungan software jelas.
Bagi pengguna yang memiliki perangkat produksi Videostrong Technology, langkah pencegahan yang disarankan adalah memutus koneksi internet perangkat dan mempertimbangkan penggantian dengan produk dari produsen tepercaya.
Langkah tersebut menjadi penting karena malware yang tertanam pada tingkat firmware tidak selalu dapat dihilangkan melalui penghapusan aplikasi biasa. Kasus XCPE sekaligus memperlihatkan pentingnya pengawasan keamanan dalam rantai pasok perangkat elektronik.
Ancaman dapat muncul sejak tahap produksi saat pihak yang memiliki kendali terhadap software dasar menyisipkan kemampuan akses tersembunyi. Melalui pembongkaran jaringan botnet tersebut, Google berupaya membatasi penyalahgunaan perangkat Android sekaligus memperkuat proses sertifikasi untuk mencegah kejadian serupa.
Meski demikian, keberadaan jutaan perangkat yang telah terinfeksi menunjukkan bahwa perlindungan keamanan perangkat terhubung membutuhkan pengawasan berkelanjutan, baik dari penyedia platform, produsen perangkat, maupun pengguna.
