구글, 셋톱박스 130만여 대 봇넷 차단…악성 펌웨어는 남아

구글 위협 인텔리전스 그룹(GTIG)은 구글과 업계 파트너들이 지난주 안드로이드 TV 셋톱박스 등이 동원된 XCPE 봇넷의 운영 기반을 차단했다고 밝혔습니다. 다만 운영 서버를 끊었다고 기기 펌웨어 속 백도어까지 제거된 것은 아닙니다.

집 안의 인터넷 회선이 남의 통신 중계기로

GTIG는 안드로이드 기기 제조업체 비디오스트롱(Videostrong)이 수익을 목적으로 백도어를 의도적으로 개발·배포·운영했다고 높은 확신을 갖고 평가했습니다. 악성코드는 여러 브랜드와 모델의 펌웨어에 내장돼 있었으며, XCPE에 연결된 셋톱박스는 130만 대가 넘었습니다. 감염 기기 대부분은 안드로이드 TV 셋톱박스였습니다.

백도어 운영자는 다른 범죄 조직의 모듈을 몰래 설치해 광고 사기를 벌이고, 기기를 ‘주거용 프록시’로 이용했습니다. 집 안의 인터넷 회선으로 남의 트래픽을 중계하게 한 것입니다. 구글은 운영자가 원격으로 화면을 캡처하거나 키를 입력하고, 계정·기기 정보를 빼내는 행위도 관찰했다고 밝혔습니다.

제어 서버는 차단했지만, 앱은 다시 설치된다

구글은 봇넷의 제어 도메인·서버와 12종이 넘는 악성코드 계열의 제어 도메인을 대상으로 법적 차단 조치를 취했습니다. 비디오스트롱과 향후 자회사·계열사의 안드로이드 인증 기기 제조·판매, 다른 인증 업체에 대한 소프트웨어 공급도 금지했습니다.

하지만 백도어 x.cpe(일부 기기에서는 com.oemservice)는 일반 앱 영역에서 삭제해도 펌웨어에 남아 있다가 재부팅 때 다시 설치됩니다. 구글은 첫 부팅 뒤 악성코드를 불러오는 수법이 기존 검사의 빈틈을 악용했다고 설명했습니다. 이에 인증 안드로이드 TV 기기의 펌웨어 무결성 검토 절차도 개선했습니다.

제조사와 앱 권한, 대역폭 공유 제안을 살펴야

구글은 신뢰할 수 있는 제조사의 연결 기기를 고르고, 안드로이드 TV 공식 파트너 목록을 참고하라고 권고했습니다. 앱은 믿을 만한 스토어에서 설치하고, 타사 VPN·프록시 앱의 권한을 살피며 구글 플레이 프로텍트를 켜두라고 안내했습니다.

‘남는 대역폭’이나 ‘인터넷 공유’의 대가로 돈을 준다는 앱에는 특히 주의하라고 했습니다. 이번 보고서에는 전체 감염 모델 목록이 제시되지 않았습니다. 공식 파트너 목록과 보안 기능은 기기를 고르고 사용하는 데 참고할 수 있지만, 이미 감염된 셋톱박스를 복구해 주는 수단은 아닙니다.