130만대 셋톱박스 봇넷…구글, 제조사 인증 차단

구글(Google)이 셋톱박스 130만대 이상을 봇넷으로 묶은 악성코드 XCPE의 제어 인프라를 차단하고 제조사 Videostrong과 관계를 끊었다. 구글은 향후 Videostrong과 자회사·계열사가 인증 안드로이드 기기를 제조·판매하거나 다른 인증 업체에 소프트웨어를 공급하지 못하게 했다.

구글은 2일 공개한 위협 분석에서 XCPE의 제어 도메인과 서버를 대상으로 법적 조치를 했다고 밝혔다. 다만 개별 기기의 악성 펌웨어가 제거됐다는 뜻은 아니다.

구글은 Videostrong이 금전적 이익을 위해 백도어를 개발·배포·운영했다고 높은 신뢰도로 평가했다. 이는 구글의 평가이며 법원의 확정 판단과는 구분된다.

백도어는 기기가 소비자에게 팔리기 전 펌웨어에 심겼다. 구글은 악성 코드가 보안 검사를 피해 첫 부팅 뒤 기능을 불러오도록 설계됐다고 설명했다.

감염 사례는 주로 안드로이드 TV 셋톱박스에서 발견됐다. 구글은 원격의료 기기와 노래방 기기, 디지털 광고판 등 다른 안드로이드 기반 기기에서도 악성코드를 확인했으며, 모든 안드로이드 TV 제품이 감염된 것은 아니라고 밝혔다.

TrendAI는 기술 분석에서 2026년 6월 3일부터 10월 1일까지 170개국 이상에서 감염 기기 147만2554대와 기기 모델 206개를 관측했다고 밝혔다. 구글의 130만대 이상과 TrendAI의 관측치는 조사 범위와 집계 기준이 다르다.

TrendAI는 관측된 기기 가운데 약 133만대가 주거용 프록시와 광고 사기 모듈의 배포 대상으로 지정됐다고 밝혔다. 자료 수집이 간헐적이어서 관측치가 실제 감염 규모의 하한이라는 설명도 덧붙였다.

TrendAI는 같은 기간 주거용 프록시의 출구 IP 주소 384만9226개를 기록했다. 하루 제공된 IP 주소는 평균 18만2025개, 최대 36만6562개였다. IP 주소 수는 감염 기기나 피해자 수와 다른 지표다.

악성코드 ‘x.cpe’는 MQTT를 통해 원격 서버의 명령을 받아 앱을 설치·삭제하고 기기 설정을 바꿀 수 있었다. 이 기능으로 이용자가 모르는 사이 기기를 원격으로 제어할 수 있었다.

구글은 감염 기기가 광고 사기와 주거용 프록시에 이용됐다고 밝혔다. 주거용 프록시는 가정 인터넷 회선을 제3자 통신의 경로로 사용하는 방식으로, 셋톱박스가 평소처럼 작동해도 회선이 다른 통신에 쓰일 수 있다.

구글은 XCPE와 별개인 제휴 악성코드 계열의 제어 도메인도 차단해 최소 1000만대에 대한 접근이 끊길 것으로 평가했다. 이 수치는 XCPE 봇넷에 편입된 셋톱박스 130만대에 더할 수 있는 감염 기기 집계가 아니다.

제어망을 차단해도 기기에 설치된 백도어가 자동으로 사라지는 것은 아니다. TrendAI는 백도어가 제조사 서명으로 설치된 시스템 앱에 포함돼 이용자가 직접 제거할 수 없다고 설명했다.

TrendAI는 기기 정화에 제조사 조치나 플랫폼 차원의 보호, 기기 교체가 필요할 수 있다고 분석했다. 제어 인프라 차단과 개별 기기의 펌웨어 조치는 서로 다른 단계다.

구글은 일본 경찰청과 여러 보안업체가 분석과 차단에 참여했다고 밝혔다. 인증 안드로이드 TV 기기의 펌웨어 무결성을 확인하는 검토 절차도 개선했다고 설명했다.