구글, XCPE 봇넷 운영 교란…Videostrong의 인증 Android 기기 제조·판매 금지

본문

구글 위협 인텔리전스 그룹(GTIG)은 11월 3일 게시한 분석에서 구글과 업계 파트너들이 지난주 XCPE 봇넷 운영을 교란했다고 밝혔습니다. GTIG에 따르면 XCPE 백도어는 셋톱박스 130만 대 이상을 봇넷에 편입시켰고, 감염 기기의 대다수는 Android TV 셋톱박스였습니다. 원격의료 기기와 노래방 장비, 디지털 사이니지 등 다른 Android 기반 기기도 감염된 것으로 확인했습니다.

GTIG는 Videostrong Technology Co.가 금전적 이익을 위해 백도어와 봇넷을 개발·배포·운영했다고 높은 확신으로 판단했습니다. Videostrong은 범죄 계열사에 감염 기기 접근권을 판매하고, 이들이 만든 악성 모듈을 기기에 실었습니다. 이 구조는 감염 이후에도 기기를 프록시 서비스와 광고 사기, 추가 악성코드 유포에 이용해 수익을 내도록 했습니다.

백도어 x.cpe는 펌웨어의 시스템 파티션에 선탑재돼 Android 시스템 권한(android.uid.system)으로 실행됐습니다. 사용자가 앱을 제거해도 재부팅하면 /oem/ 파티션에 남은 패키지에서 다시 설치됐습니다. 일반 앱처럼 제거하는 것만으로는 지속성을 끊기 어려운 구조였습니다. GTIG는 이 악성코드가 여러 브랜드와 기기 모델의 펌웨어에 여러 해 동안 들어 있었다고 밝혔습니다.

감염 기기는 먼저 HTTP 요청으로 초기 설정을 받은 뒤 MQTT 연결을 유지하며 운영자의 명령을 수신했습니다. x.cpe는 통신을 맡아 앱을 몰래 설치하고 셸 명령이나 스크립트를 실행했으며, 추가 모듈을 내려받게 했습니다. GTIG는 명령 서버 기록에서 운영자가 화면을 캡처하고 키 입력을 주입했으며, 계정 정보와 기기 정보, 설치 앱 목록, 시스템 로그를 외부로 보낸 사례도 확인했다고 밝혔습니다.

수익화 모듈은 프록시 연결을 중계하거나 광고 사기에 가담하고, 다른 백도어를 설치했습니다. 초기에는 x.cpe에 모듈이 직접 들어갔지만, GTIG는 2024년 말부터 x.cpe가 별도 실행 엔진 com.abc.nexus에 설정과 명령을 넘기는 형태로 바뀌었다고 분석했습니다. com.abc.nexus는 네이티브 프로그램과 소프트웨어 개발 키트(SDK), 내려받은 앱을 실행했습니다. 제휴사가 만든 모듈은 감염 기기를 주거용 프록시의 출구 노드나 광고 사기 장치로 만들고, 추가 악성코드를 불러오기도 했습니다.

GTIG는 2026년 8월부터 MQTT를 통해 새 드로퍼가 설치되는 변화도 관찰했습니다. 새 드로퍼는 com.abc.nexus를 대체해 한 가지 수익화 모듈을 설치하는 방식이었습니다. GTIG는 이 변화가 탐지를 피하려는 악성코드 진화일 가능성이 있다고 봤습니다.

대응은 기기와 명령 인프라를 함께 겨냥했습니다. 구글은 Videostrong이 봇넷을 통제하고 모듈을 설치하는 데 쓴 도메인과 서버, 이 백도어를 통해 모듈로 유입된 12개가 넘는 악성코드 계열의 명령·제어(C2) 도메인을 차단하기 위한 법적 조치를 취했습니다. 제휴사들은 XCPE 밖에도 모듈을 배포할 경로를 갖고 있어, GTIG는 관련 C2 도메인 차단으로 XCPE 봇넷과 별개인 감염 기기 최소 1,000만 대에서 운영자 접근이 끊길 것으로 추산했습니다.

구글은 Videostrong과 관계를 끊고, 이 업체와 앞으로 설립될 자회사·계열사가 인증 Android 기기를 제조·판매하거나 다른 인증 업체에 소프트웨어를 공급하지 못하게 했다고 밝혔습니다. Videostrong이 기기 첫 부팅 뒤 악성 코드를 넣는 난독화 방식으로 기존 호환성·보안 시험의 빈틈을 이용했다고도 설명했습니다. 구글은 이에 대응해 인증 Android TV 펌웨어의 무결성을 살피는 심사 절차를 보완했다고 전했습니다.

자료: Google Cloud Blog / 정리·해설: Trawling