Google 등, 안드로이드 기기 130만 대 묶은 XCPE 봇넷 통제망 차단

본문

Google Threat Intelligence Group(GTIG)은 2026년 11월 3일 Google과 보안업체들이 일본 경찰청과 협력해 XCPE 백도어의 통제 인프라를 차단했다고 밝혔습니다. 협력에는 Lumen, HUMAN Security, Plume, Synthient, TrendAI가 참여했습니다. GTIG는 중국 선전의 기기 제조사 Videostrong Technology가 금전적 이익을 위해 백도어와 봇넷을 의도적으로 개발·배포·운영했다고 높은 확신으로 판단했습니다. 봇넷에는 안드로이드 셋톱박스와 프로젝터 등 130만 대가 넘는 기기가 포함됐습니다.

감염은 악성 구성요소가 펌웨어에 미리 탑재된 기기가 출고되면서 시작됐습니다. Google과 TrendAI에 따르면 Videostrong은 원격 관리 도구처럼 보이는 x.cpe를 여러 모델의 펌웨어에 넣었습니다. 난독화 기법을 쓰고 기기의 첫 부팅 뒤 악성 코드를 불러와 출시 전 보안 검사를 피했습니다.

x.cpe는 안드로이드 시스템 권한으로 실행됐습니다. 기기가 켜지면 HTTP 요청으로 초기 설정을 받은 뒤 MQTT 서버에 지속적으로 연결해 운영자의 명령을 받았습니다. 운영자는 이 연결을 통해 앱을 몰래 설치·제거하고 설정을 바꾸거나 파일을 내려보냈습니다. Google은 운영자가 원격 셸 명령을 실행하고 화면을 캡처했으며, 계정·기기 정보를 빼낸 사례도 관찰했다고 밝혔습니다.

x.cpe가 제어 서버와 통신하며 명령 전달을 맡고, com.abc.nexus 같은 별도 로더가 수익화 모듈을 실행했습니다. 이 모듈은 감염 기기를 주거용 프록시 출구로 만들거나 광고 노출을 부풀리고 추가 악성코드를 설치했습니다. 주거용 프록시를 이용하면 외부 사업자가 가정이나 모바일 회선의 IP 주소를 거쳐 트래픽을 보낼 수 있습니다. 기기 이용자는 자신의 회선이 제휴 업체와 범죄자의 수익 활동에 동원되는 사실을 알지 못했습니다.

감염 규모는 조사 시점과 관측 범위에 따라 집계가 달랐습니다. TrendAI Research는 2026년 6월 3일부터 10월 1일까지 간헐적으로 수집한 원격 측정 자료에서 감염 기기 1,472,554대와 206개 모델을 기록했습니다. 그중 약 133만 대는 프록시와 광고 사기 모듈의 설치 대상으로 지정돼 있었습니다. TrendAI는 수집이 연속적이지 않아 각 수치가 실제 운영 규모의 하한이라고 설명했습니다. Google과 협력사들이 제시한 공동 규모는 130만 대 이상입니다.

TrendAI는 기기 설정을 제공하는 서버와 MQTT 서버 등 중앙 서버 두 곳을 제거해 운영자가 감염 기기에 명령을 전달하지 못하게 했다고 설명했습니다. Google도 봇넷 제어 서버·도메인과 제휴 악성코드 12개가 넘는 계열의 C2 도메인을 대상으로 차단 조치를 했다고 밝혔습니다. Google은 제휴 악성코드의 C2 도메인을 차단하면 XCPE 외부의 감염 기기 최소 1,000만 대에 대한 접근도 끊길 것으로 추정했습니다. 이 수치는 XCPE 감염 기기 규모가 아니라 제휴 악성코드 인프라 차단의 예상 영향입니다.

통제 서버가 끊겨도 펌웨어에 심긴 백도어는 기기에 남습니다. Google은 x.cpe를 사용자 앱 영역에서 삭제해도 재부팅하면 펌웨어의 별도 영역에서 다시 설치된다고 설명했습니다. TrendAI도 서버 차단으로 기기 안의 백도어가 지워지지는 않는다고 밝혔습니다. TrendAI가 제시한 정리 경로는 제조사 조치, 플랫폼 차원의 보호 또는 기기 교체입니다.

Google은 Videostrong과 향후 자회사·계열사가 인증 Android 기기를 제조·판매하거나 다른 인증 업체에 소프트웨어를 공급하지 못하도록 금지했다고 밝혔습니다. 악성 코드의 난독화와 첫 부팅 후 실행이 기존 검수의 빈틈을 이용한 사례에 대응해, Google은 펌웨어 무결성 검수 절차도 개선했습니다.

자료: The Register, Google Threat Intelligence Group, TrendAI Research / 정리·해설: Trawling