보안2026. 11. 5. 오전 7:08 UTC·1 분 소요

구글, 경찰청과 Android TV 박스 XCPE 백도어 무력화

구글이 일본 경찰청 등과 협력해 130만 대 이상의 셋톱박스에 심긴 XCPE 백도어를 무력화하고 제조사 Videostrong과 결별했습니다.

An Android TV set-top box with a red warning symbol, representing the XCPE backdoor botnet that Google disrupted. — 이미지: Impress Watch

구글은 3일(현지시간) 일본 경찰청 등과 협력해 130만 대 이상의 셋톱박스(STB)에 심어진 XCPE 백도어를 무력화했다고 발표했습니다.

펌웨어에 심긴 악성코드

XCPE(x.cpe)는 안드로이드 OEM/ODM 업체 Videostrong Technology가 제조한 기기에 내장된 악성코드입니다. 구글 플레이 보호 기능 비활성화, 원격 조작, 광고 사기 실행, 이용자 회선을 경유지로 쓰는 레지덴셜 프록시화, 다른 악성코드 추가 설치가 가능했습니다. 기기 펌웨어에 직접 기록돼 있었고, 전용 인프라와 탐지 회피용 동적 설정으로 관리됐다고 합니다. Videostrong은 이 백도어에 대한 접근 권한을 판매해 수익을 올렸습니다.

감염 기기는 대부분 Android TV 셋톱박스지만 원격 의료 단말, 노래방 기기, 디지털 사이니지 등 안드로이드 기반 IoT 기기도 포함됩니다. 북미와 남미, 호주, 러시아, 동남아시아, 유럽, 아프리카 일부 국가에서 봇넷을 형성했습니다.

조치와 향후 과제

구글은 경찰청 외에 Lumen, HUMAN Security, Plume, Synthient, TrendAI와 함께 봇넷 해체와 법적 조치를 진행했고, 백도어로 유포된 악성코드의 C2 도메인도 차단했습니다. XCPE 외 경로를 포함해 1,000만 대 이상의 접근을 막은 것으로 추정합니다. 다만 백도어·레지덴셜 프록시 사업자와 광고 사기 조직이 복잡한 공급망을 이루고 있어 지속적인 인프라 추적이 필요하다고 밝혔습니다.

구글은 Videostrong과의 제휴를 끝내고, 이 회사와 자회사, 계열사가 인증 안드로이드 기기를 제조·판매하거나 다른 업체에 소프트웨어를 제공하는 것을 영구 금지했습니다. 기존 심사 절차를 강화하고 Android TV 기기의 펌웨어 무결성을 보증하는 검증 절차도 재검토할 계획입니다.