구글, 안드로이드TV 130만대에서 몰래 돌던 봇넷 해체

구글 위협 인텔리전스 그룹이 보안 기업 루멘(Lumen) 등과 협력해 x.cpe라는 대규모 봇넷을 중단시켰다고 발표했다. 구글은 중국 기업이 의도적으로 백도어를 심었다고 판단했다.

x.cpe는 안드로이드 TV(Android TV) 기기 130만대 이상에서 작동한 네트워크다. 기기가 온라인에 연결되면 특정 앱이 실행돼 외부 서버에 접속했다. 이 앱 자체에는 악성 기능이 없었지만 운영자 지시에 따라 악성코드를 설치하는 데 필요한 권한을 갖고 있었다.

x.cpe 활동은 전 세계에서 관측됐다. 대부분 안드로이드 TV에서 발견됐지만 원격의료 기기와 노래방 기기, 디지털 사이니지 기기 등 다른 안드로이드 기반 기기 감염도 확인됐다.

구글 조사 결과 대다수 기기는 악성 트래픽을 대량으로 중계하는 주거용 프록시로 쓰였거나 광고 사기에 관여하는 모듈을 실행한 것으로 나타났다. 공격자는 터미널 명령을 실행하거나 기기 화면을 캡처할 수 있었고 같은 로컬 네트워크에 있는 다른 기기도 조사할 수 있었다. 구글은 이런 네트워크 접근 권한을 판매하는 사업이 이뤄졌다고 추정했다.

이 네트워크는 중국 선전에 설립된 비디오스트롱테크놀로지(Videostrong Technology) 기기에서 발견됐다. 이 회사는 구글 인증 파트너이고 기기도 구글 인증을 받았지만 난독화로 심사 절차를 피한 것으로 보인다. 해당 기기는 주로 메쿨(MECOOL) 브랜드로 판매됐다.

x.cpe는 기기 설정이 끝나고 온라인에 연결된 뒤 백도어로 악성코드를 원격 설치해 탐지를 피한 것으로 알려졌다. 구글 보안 도구인 플레이 프로텍트(Play Protect)도 비활성화했다. 플레이 프로텍트가 켜져 있었다면 사용자 몰래 설치된 패키지를 악성코드로 탐지할 수 있었을 것이라는 지적이 나온다.

구글은 비디오스트롱테크놀로지가 악성코드 운영과 설치에 쓴 도메인과 서버를 중단시키려고 법적 조치를 취했다. 또 이 회사 인증을 취소하고 인증 안드로이드 기기 제조와 판매를 금지했다고 밝혔다. 관련 내용은 이곳에서 확인할 수 있다.