구글, 130만 대 XCPE 봇넷 차단…中 제조사 인증기기 제조 금지

구글은 중국 선전 소재 기기 제조사 비디오스트롱 테크놀로지를 이번 사안의 주체로 지목했다. 구글은 이 회사가 자사 제조 기기에 백도어를 의도적으로 내장했다고 높은 확신을 갖고 판단했다. 백도어는 외부에서 기기에 명령을 보내고 앱을 설치할 수 있게 하는 악성 프로그램이다. 구글은 이 회사가 범죄 제휴자들에게 기기 접근권을 판매했다고도 평가했다.

구글은 비디오스트롱이 금전적 이익을 위해 백도어와 봇넷을 의도적으로 개발·배포·운영했다고 보며, 내부자의 단독 행위나 개발 실수로 보지 않는다고 밝혔다.

통제 서버 차단과 인증 라이선스 철회

구글은 봇넷 통제 도메인과 서버를 막고, 백도어를 통해 설치된 12종이 넘는 악성코드 계열의 명령·제어 도메인도 함께 차단했다. 명령·제어 도메인은 공격자가 감염 기기에 지시를 내리고 결과를 받는 데 쓰는 접속 지점이다.

제휴자들이 XCPE 이외의 경로로도 악성코드를 배포했기 때문에, 구글은 이번 차단으로 최소 1000만 대의 추가 감염 기기에 대한 접근도 끊길 것으로 예상했다. 다만 이는 공격자 측 통제 통로를 막는 조치로, 기기에 남아 있는 백도어 자체가 제거되는 것은 아니다.

구글은 비디오스트롱과 관계를 종료하고 구글 앱·서비스를 선탑재한 안드로이드 TV 기기 제조 라이선스를 철회했다. 이 회사와 향후 자회사·계열사가 인증 안드로이드 기기를 제조·판매하거나 다른 인증 제조사에 소프트웨어를 공급하는 것도 금지했다. 구글은 비디오스트롱이 보안 시험의 빈틈을 이용해 최초 부팅 뒤 악성코드를 불러왔다고 설명하며, 이에 따라 제조사 심사 절차를 변경했다고 밝혔다.

지워도 재부팅하면 다시 설치

구글은 백도어가 여러 브랜드와 모델의 기본 소프트웨어(펌웨어)에 수년간 직접 내장됐다고 밝혔다. 취약점 공격이나 이용자를 속이는 설치 방식이 아니라 제조 단계에서 들어갔다는 설명이다.

구글 분석에 따르면 ‘x.cpe’는 펌웨어에 선탑재돼 시스템 권한으로 실행된다. 소프트웨어를 몰래 설치하기 전에는 구글 플레이 프로텍트의 앱 검사를 비활성화한다. 구글 플레이 프로텍트는 기기에 설치되는 앱을 검사하는 안드로이드 내장 보안 기능이다.

이용자가 직접 지우기는 어렵다. 구글은 x.cpe가 펌웨어에 선탑재돼 이용자가 제거할 수 없고, 설치된 패키지를 삭제해도 재부팅하면 기기 내부 영역에서 다시 설치된다고 설명했다. 트렌드AI는 이 백도어가 제조사 키로 서명된 시스템 앱으로 실행되므로, 제거에는 제조사 조치나 플랫폼 보호 또는 기기 교체가 필요하다고 밝혔다.

구글 분석을 보면 백도어는 앱 무단 설치, 시스템 권한 명령 실행, 화면 캡처, 계정·기기 정보와 설치 앱 목록 수집, 원격 명령 접속 기능을 제공했다. 구글은 화면 캡처와 정보 반출 등 일부 기능이 실제 사용된 것도 관찰했다고 밝혔다. 접근권을 사들인 제휴자들의 추가 모듈은 광고 사기, 감염 기기의 주거용 프록시망 무단 편입, 추가 악성코드 설치에 쓰였다고 구글은 설명했다. 주거용 프록시 서비스는 가정 인터넷 회선의 접근권을 판매해 고객의 통신이 일반 가정에서 발생한 것처럼 보이게 한다.

원격의료·노래방 기기에서도 감염

구글은 감염 기기 대부분이 안드로이드 TV 셋톱박스였으며 원격의료 기기와 노래방 기기, 디지털 사이니지에서도 감염을 관찰했다고 밝혔다. 트렌드AI는 206개 모델에서 감염 기기 147만2554대를 집계했으며 실제 규모는 최소 그 이상이라고 밝혔다.

신시언트는 비디오스트롱과 연결된 MECOOL 브랜드 기기를 중심으로 분석해, 구매한 MECOOL KM9PRO Max에서 백도어 선탑재를 확인했다고 밝혔다. 신시언트는 관찰한 기기 모델명 182개 목록을 공개하면서도 모델명만으로는 감염 여부를 확정할 수 없다고 경고했다.

구글은 일본 경찰청과 여러 보안업체가 악성코드 생태계 분석과 운영 차단에 협력했다고 밝혔다. 또 범죄 생태계의 일부가 차단되면 운영자들이 새로운 로더나 다른 수익화 소프트웨어로 빠르게 전환한다고 경고했다.