구글이 업계 파트너와 함께 안드로이드 TV 셋톱박스 130만 대 이상을 감염시킨 봇넷 XCPE를 해체했다고 2일 밝혔다. 구글 위협 인텔리전스 그룹은 중국 제조사 비디오스트롱 테크놀로지가 제조 단계에서 백도어를 직접 심었다고 높은 확신으로 판단했다.
XCPE는 취약점이나 사용자 속임수에 의존하지 않고 기기 펌웨어에 처음부터 들어 있었다는 점이 특징이다. 구글에 따르면 비디오스트롱은 이 접근 권한을 범죄 제휴 세력에 팔았고, 제휴 세력은 광고 사기와 주거용 프록시 서비스, 추가 악성코드 설치에 기기를 썼다.
구글은 XCPE 명령제어 서버를 차단해, 10종 넘는 악성코드군이 쓰던 최소 1,000만 대의 다른 감염 기기와의 연결도 끊었다. 셋톱박스뿐 아니라 노래방 기기와 원격 진료 장비 등도 포함되며 모두 안드로이드 기기는 아니다.
구글은 비디오스트롱과의 관계를 끊고 구글 앱이 설치된 안드로이드 TV 기기를 만들 수 있는 라이선스를 취소했다. 이 회사와 앞으로의 제휴사는 인증 안드로이드 기기 생산과 인증 업체에 대한 소프트웨어 공급이 금지된다. 비디오스트롱이 난독화로 보안 시험을 피한 사실이 드러나 인증 심사 절차도 바꿨다. 일본 경찰청과 루멘, 휴먼 시큐리티 등이 작전에 참여했다.
백도어는 시스템 권한으로 돌아가며 앱 무음 설치, 구글 플레이 프로텍트 해제, 셸 명령 실행, 화면과 키 입력 수집 등을 할 수 있다. 시센티스의 분석에서는 2025년 말 구매한 메쿨 박스에 악성코드가 미리 깔려 있었고, 공개된 서버 디렉터리에서 이 회사 연구개발 책임자의 문서와 회사 도메인 연결 정황이 나왔다. 구글은 개발자 실수나 내부자 소행이 아니라고 결론지었다.
다만 이번 조치로 이미 감염된 기기에서 악성코드가 지워지는 것은 아니다. 삭제해도 OEM 파티션에서 다시 설치되므로, 사용자는 깨끗한 펌웨어를 설치하거나 기기를 인터넷에서 분리해야 한다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.