구글, 130만 대 안드로이드 TV 박스에 비밀리에 숨어 있던 봇넷 해체

무슨 일이 있었나

구글의 위협 인텔리전스 그룹(Threat Intelligence Group)은 x.cpe 봇넷을 차단했다고 밝혔습니다. 이 봇넷은 가장 많을 때 130만 대가 넘는 안드로이드 TV 기기에서 돌아가고 있었습니다. 특이한 점은 감염된 기기들이 구글 인증을 받은 제품이었다는 것입니다. 구글은 자사의 검사 과정이 선전의 Videostrong Technology가 쓴 '난독화 기법' 때문에 악성코드를 놓쳤다고 설명했습니다. 이 봇넷은 단순한 한 단계 설치기에서 시작해, 세 단계로 된 모듈형 악성코드 플랫폼으로 빠르게 발전했고, 그 접근 권한을 제3자에게 팔았습니다.

핵심 숫자와 사실

• 감염 기기 최대 130만 대 이상의 안드로이드 TV 기기
• 주로 MECOOL 브랜드로 판매된 기기
• Videostrong Technology는 중국 선전에 본사를 둔 회사
• 대부분의 감염 기기는 주거용 프록시(residential proxy)나 광고 사기 모듈을 돌리고 있었음

어떻게 숨어들었나

기기 제조사는 구글 앱과 브랜드를 쓰려면 인증을 받아야 합니다. 이 검사는 이런 위협을 걸러내도록 만들어졌습니다. 하지만 Videostrong의 기기는 설정이 끝나고 인터넷에 연결된 뒤에 백도어(뒷문)를 통해 악성코드를 원격으로 설치하는 방식을 썼습니다. 기기가 온라인에 나타나면 'x.cpe' 또는 'com.oemservice'라는 작은 앱이 조종자에게 신호를 보냈습니다. 이 앱 자체에는 악성 기능이 없었지만, 시스템 수준의 권한을 가지고 있어 조종자의 명령에 따라 악성 모듈을 설치할 수 있었습니다. 또한 악성 패키지를 잡아낼 수 있는 Play Protect 기능도 꺼 버렸습니다.

왜 중요한가

인증을 받은 기기도 안심할 수 없다는 뜻입니다. 기기 안에서 명령어를 실행하고, 화면을 훔쳐보고, 같은 네트워크의 다른 기기를 살펴볼 수 있을 정도로 권한이 컸습니다. 구글은 이런 접근을 실시간으로 하는 모습도 확인했다고 전했습니다. 집에 있는 TV 박스가 나도 모르게 다른 사람의 인터넷 트래픽을 나르는 중계기가 될 수 있다는 점에서, 많은 사람이 직접 관심을 가져야 할 문제입니다.

앞으로 지켜볼 점

• 구글이 Videostrong 기기와 MECOOL 제품에 어떤 조치를 내리는지
• 인증 검사 과정이 이런 백도어를 막도록 강화되는지
• x.cpe 봇넷을 조종하던 사람들이 다른 방식으로 다시 나타나는지