구글, 인증 통과한 안드로이드 TV 박스 130만 대 봇넷 해체…제조사가 백도어 심었다

구글 위협 인텔리전스 그룹(GTIG)이 안드로이드 TV 박스 130만 대 이상으로 구성된 봇넷(악성코드에 감염된 기기들의 네트워크) ‘XCPE’를 해체했다고 밝혔다. GTIG는 월요일(현지시각) 공개한 보고서에서 중국 제조사 Videostrong Technology가 백도어(몰래 접속하는 뒷문)를 의도적으로 개발·배포·운영했다고 “높은 확신”으로 평가했다. 더 해커 뉴스(The Hacker News)에 따르면 이 봇넷은 10월 말 구글 주도의 단속으로 서버 통제권을 잃었다.

피해 기기 상당수는 구글 인증을 받은 제품이었다. 인증 절차가 걸러내지 못한 악성코드를 제조사가 출고 단계부터 심어 둔 구조여서 업계가 주목할 만한 사례다.

구글 인증을 통과한 박스에 심긴 백도어

아르스 테크니카(Ars Technica)에 따르면 구글은 Videostrong이 쓴 ‘난독화 기법’ 때문에 심사 과정이 악성코드를 놓쳤다고 설명했다. 제조사가 구글 앱과 브랜드를 쓰려면 기기 인증을 받아야 한다. 이 절차는 원래 이런 위협을 걸러내기 위한 장치다. 문제의 박스는 주로 MECOOL 브랜드로 팔렸고, 기기를 설정해 인터넷에 연결한 뒤에야 원격으로 악성코드를 내려받는 방식으로 탐지를 피했다.

구글이 밝힌 인증 시험의 빈틈은 이렇다. Videostrong이 기기를 처음 켠 직후에 악성 코드를 불러오는 방식으로 시험을 우회했다는 것이다. 구글은 이후 검토 절차를 바꿨고 인증 안드로이드 TV 기기의 펌웨어(기기 내장 소프트웨어) 점검도 강화하고 있다고 밝혔다. 더 해커 뉴스에 따르면 11월 2일 기준 Videostrong 공식 웹사이트에는 ‘구글 인증 안드로이드 TV 박스’와 ‘구글 인증 안드로이드 TV 스틱’이라는 제품이 올라 있었다.

블리핑컴퓨터(BleepingComputer)에 따르면 이 봇넷은 취약점을 노리거나 사용자를 속여 설치하게 만드는 일반 봇넷과 다르다. 제조 과정에서 기기 펌웨어에 곧바로 내장됐다. 구글은 Videostrong이 여러 기기 브랜드와 모델에 걸쳐 수년간 이 악성 소프트웨어를 배포해 왔다고 설명했다. 더 해커 뉴스는 구글이 내부 직원의 일탈이나 실수가 원인이라고 보지 않는다고 전했다.

시스템 권한으로 화면 캡처까지, 접속권 판매가 수익원

백도어의 핵심 구성요소는 x.cpe(com.oemservice)라는 앱이다. 아르스 테크니카는 이 앱이 단독으로는 악성 기능이 없지만 악성 모듈을 설치할 수 있는 시스템 수준 권한을 갖고 있었다고 전했다. 이 앱은 구글 플레이 프로텍트도 꺼 버렸다. 그래서 몰래 설치되는 악성 패키지가 경고 없이 넘어갔다.

기기가 켜지면 XCPE는 명령 제어(C2) 서버에 접속해 MQTT 메시지 브로커(명령 전달 서버)의 접속 정보를 받는다. 블리핑컴퓨터에 따르면 운영자는 이 경로로 안드로이드 앱을 몰래 내려받아 설치하고, 시스템 권한으로 셸 명령과 스크립트를 실행할 수 있었다. 스크린샷 캡처와 키 입력 주입, 계정·기기 정보·설치 앱 목록·시스템 로그 수집, 네트워크 정찰, 리버스 셸(원격 명령창) 구축도 가능했다. 더 해커 뉴스는 구글이 Videostrong 운영자가 이런 권한 일부를 실제로 쓴 정황을 확인했다고 전했다.

돈은 접속권 판매에서 나왔다. 구글은 Videostrong이 범죄 제휴 업체에 백도어 접속권을 팔고 그들의 악성 모듈을 감염 기기에 올려 줬다고 밝혔다. 모듈 중에는 주거용 프록시(가정 인터넷 회선을 빌려주는 서비스) 소프트웨어가 많았다. 블리핑컴퓨터는 Linkfog, AppSalt/Honeygain, GaGaNode, NetNut, Traffmonetizer 등을 거론했다. 이런 소프트웨어는 소유자의 동의 없이 제3자의 인터넷 트래픽을 감염 기기로 중계했다. 일부 모듈은 광고 노출을 조작하고 숨은 웹페이지를 불러오고 광고를 클릭하는 광고 사기에 쓰였다. 일부는 Moyu, Spirit, Bird 같은 다른 백도어를 추가로 내려받았다.

운영자는 탐지를 피하려고 구조를 계속 바꿨다. 블리핑컴퓨터에 따르면 2024년 말부터 com.abc.nexus라는 별도 로더가 악성 모듈 실행을 맡았고 XCPE는 C2 통신에 집중했다. 올해 8월부터는 이 로더를 안드로이드 시스템 앱으로 위장한 더 작은 전용 드로퍼(악성코드 설치 프로그램)로 교체하기 시작했다.

제조사를 특정한 증거와 구글의 조치

Synthient는 2025년 말 구입한 MECOOL KM9PRO Max에서 백도어가 사전 설치된 것을 발견한 뒤 인프라를 추적했다. 블리핑컴퓨터에 따르면 악성코드 서버의 공개 디렉터리에서 백도어 파일과 함께 Videostrong 연구개발 책임자 Owen Cao 명의의 PDF 문서가 나왔다. Videostrong 도메인이 운영자 C2 서버와 같은 IP 주소를 가리켰고, 백도어 서명에 Videostrong 사내 이메일 주소가 여럿 쓰인 사실도 확인됐다. 더 해커 뉴스는 botnet 패키지를 호스팅한 깃허브 계정 중 하나가 yf-videostrong이라는 이름이라고 전했다.

구글은 Videostrong과의 관계를 끊고 구글 앱·서비스를 탑재한 안드로이드 TV 기기 제조 라이선스를 취소했다. 이 회사와 향후 계열사·제휴사는 인증 안드로이드 기기 제조와 인증 업체 대상 소프트웨어 공급이 금지됐다. 구글은 법적 조치로 봇넷을 통제하던 도메인과 서버를 내렸고, 백도어로 설치되던 12개 이상의 악성코드군 C2 도메인도 차단했다.

작전에는 일본 경찰청, Lumen, HUMAN Security, Plume, Synthient, TrendAI가 참여했다. 구글은 이들 제휴 업체가 XCPE 외에도 여러 유통 경로를 갖고 있어서 C2 차단으로 최소 1,000만 대의 추가 감염 기기에 대한 접근을 끊을 수 있다고 평가했다. 이 기기에는 소매용 셋톱박스와 노래방 기기, 원격의료 장비가 포함된다. 구글은 모두 안드로이드 기기는 아니라고 밝혔다. 더 해커 뉴스는 구글이 백도어 운영자와 구매 범죄자들이 한 부분이 막히면 빠르게 새 도구로 갈아탄다고 경고했다고 전했다.

지워지지 않는 백도어, 사용자는 어떻게 해야 하나

피해 규모는 TrendAI 집계로 가늠할 수 있다. 더 해커 뉴스에 따르면 TrendAI는 6월 3일부터 10월 1일 사이 206개 모델에서 감염 기기 147만 2,554대를 확인했고 실제 수치는 이보다 적지 않다고 밝혔다. 말레이시아·브라질·이라크·멕시코·대만이 가장 많았고 미국·독일·영국·호주·캐나다도 각각 약 2만 6,000~4만 2,000대였다. 더 레지스터는 같은 기간 380만 개가 넘는 가정·모바일 IP 주소가 이 작전과 연결됐다고 TrendAI를 인용해 전했다.

문제는 이 백도어를 사용자가 직접 지울 수 없다는 점이다. 더 해커 뉴스에 따르면 x.cpe는 펌웨어의 일부여서 박스를 재시작하면 다시 설치된다. TrendAI는 제조사 키로 서명된 시스템 앱이기 때문에 해결하려면 “제조사 조치, 플랫폼 보호 또는 기기 교체”가 필요하다고 밝혔다. Plume은 모듈이 다른 백도어를 더 설치했을 수 있어 전체 초기화를 권고했다. 다만 초기화로 x.cpe 자체가 지워지는지는 밝히지 않았다. Synthient는 한 걸음 더 나아가 소비자에게 해당 박스를 아예 버리라고 권했다.

Synthient는 캠페인에서 확인된 기기 모델명 182개를 공개했다. 다만 모델명만으로 감염이 확정되지는 않는다는 단서를 달았다. 조직에는 공개된 침해 지표로 MECOOL 같은 기기를 찾아 격리·폐기하고, 제어 도메인과 IP를 차단하며 다른 스마트 기기를 별도 네트워크로 분리하라고 권고했다.

크렙스 온 시큐리티에 따르면 Synthient는 MECOOL 박스를 중국 상장사 Skyworth Technology가 판매했다고 밝혔다. 같은 보고서는 AppSalt/Honeygain을 소유한 Oxylabs를 비롯한 프록시 업체들이 거론됐다고 전했다. Oxylabs는 논평 요청에 응하지 않았고, 더 레지스터는 Videostrong도 즉각 답하지 않았다고 전했다. 더 레지스터는 이번 작전이 지난해 3월 HUMAN·구글·TrendAI가 차단한 BadBox 2.0과 같은 생태계에 속한다고 밝혔다. BadBox 2.0은 1,000만 대가 넘는 TV 박스 등을 감염시킨 봇넷이다.