구글, Videostrong 거래 중단…안드로이드 기기 130만 대 백도어

x.cpe의 작동 방식

주요 대상은 TV에 연결하는 셋톱박스로, 악성 소프트웨어 x.cpe가 출하 시점부터 들어 있었다. Videostrong은 이를 이용해 봇넷 XCPE를 구축했다. 인증 단계의 보안 테스트를 피하려고 기기를 처음 켠 뒤 악성 코드를 불러오는 방식이었고, 사용자가 삭제해도 재부팅하면 다시 설치됐다. Google Play 프로텍트를 끄는 기능도 있었다.

공격자는 화면을 원격으로 캡처하고 키 입력을 보내 기기를 조작했으며, 계정 정보와 시스템 로그도 외부로 전송했다. 가장 많은 악용 사례는 사용자 모르게 가정용 인터넷 회선을 타인의 통신에 쓰는 '주거용 프록시'였다. 한 기기에 프록시용 악성 소프트웨어가 최대 3종 설치된 사례도 있었다. 광고 조회수를 부풀리는 사기와 추가 악성 소프트웨어 설치도 확인됐다.

차단 작전과 재발 방지

구글은 일본 경찰청, Lumen, HUMAN Security, Plume, Synthient, TrendAI와 협력해 10월 마지막 주에 XCPE 운영을 방해했다. 제어 서버와 도메인을 막기 위한 법적 조치도 취했다. 다른 경로로 감염된 기기 최소 1000만 대에 대한 공격자 접근도 차단할 수 있을 것으로 구글은 보고 있다.

구글은 심사 절차를 재점검해 인증된 안드로이드 TV 기기의 펌웨어에 악성 코드가 있는지 확인하는 체계를 강화할 방침이다.