Michael JohnsonVideostrong 펌웨어가 설치된 Android TV 셋톱박스를 소유하고 있다면 기기의 출처를 확인하는 것이 좋습니다. 11월 2일 Google은 파트너들과 함께 130만 대가 넘는 셋톱박스가 포함된 XCPE 봇넷을 교란했다고 밝혔습니다. 작전의 일환으로 Google은 제어 서버와 악성 도메인을 차단하기 위한 조치를 취했고, Videostrong은 Google 앱이 사전 설치된 인증 Android 기기를 생산하지 못하게 됐습니다. Google은 작전 내용을 설명하며 일부 모델의 펌웨어에 내장된 백도어에 대응한 조치라고 밝혔습니다.
무엇이 차단됐나
Google Threat Intelligence Group에 따르면 XCPE는 펌웨어에 내장된 x.cpe 구성요소를 사용했습니다. 이 구성요소는 제어 서버에 연결해 명령을 받고 추가 모듈을 내려받았습니다. Google은 Videostrong이 봇넷을 운영하고 악성 구성요소를 설치하는 데 사용한 도메인과 서버, 그리고 12개가 넘는 악성 코드 계열의 제어 도메인에 대해 법적 조치를 취했다고 밝혔습니다.
이번 작전에는 일본 경찰청, Lumen, HUMAN Security, Plume, Synthient, TrendAI가 참여했습니다. Google은 Videostrong과 향후 설립될 자회사 및 계열사가 인증 Android 기기를 생산·판매하거나, 다른 인증 제조업체에 소프트웨어를 공급하지 못하도록 금지했다고도 밝혔습니다. 또한 Android TV 펌웨어 무결성 검증 절차를 변경했다고 전했습니다.
‘교란했다’는 표현은 모든 TV를 즉시 치료했다고 약속하는 것보다 정확합니다. Google은 제어 인프라와 관련 도메인의 폐쇄를 설명했지만, 이미 판매된 모든 셋톱박스의 펌웨어를 원격으로 수정했다고 발표하지는 않았습니다. 서버 차단은 운영자가 중요한 제어·모듈 전송 경로를 이용하지 못하게 하지만, 그 자체로 기기에 설치된 소프트웨어를 다시 쓰지는 않습니다.
감염이 재부팅 후에도 남은 이유
악성 구성요소는 펌웨어의 시스템 파티션에 있었습니다. Google에 따르면 x.cpe는 시스템 권한으로 실행됐으며, 사용자가 일반 데이터 파티션에서 앱을 삭제해도 재부팅 후 자신의 복사본을 복구할 수 있었습니다. 따라서 Android 설정에서 의심스러운 앱을 찾아 삭제하는 것만으로는 셋톱박스가 깨끗해진다고 보장할 수 없었습니다.
백도어는 제어 인프라와 지속적으로 연결돼 있었으며, 앱을 몰래 설치하고 셸을 실행하거나 데이터를 수집하는 명령을 받을 수 있었습니다. Google은 화면 캡처, 명령 입력, 계정 및 시스템 정보 전송, 스크립트 실행을 관찰했다고 밝혔습니다. 내려받은 모듈은 기기를 주거용 프록시 네트워크의 노드로 만들거나 광고 사기에 악용했고, 일부 모듈은 추가 악성 소프트웨어를 설치했습니다.
그 결과 일반 TV 셋톱박스가 타인의 네트워크 인프라 일부가 될 수 있습니다. 가정용 인터넷 연결을 통해 흐르는 트래픽은 사용자의 트래픽처럼 보일 수 있지만, 실제로는 기기가 원격 운영자의 명령을 수행하는 것입니다. Google은 확인된 표적과 용도로 광고 사기와 데이터 전송도 언급했습니다.
셋톱박스 소유자가 할 일
먼저 기기의 정확한 브랜드와 모델, 펌웨어 제조업체, 인증 정보를 확인하세요. 브랜드명만으로 감염 여부를 판단할 수는 없습니다. Google은 Videostrong 소프트웨어가 여러 모델과 브랜드에 들어갔다고 밝혔으므로, 기기의 출처와 펌웨어가 핵심입니다. 최신 공식 Android TV 파트너 목록과 판매자 또는 제조업체의 문서를 대조해 보세요.
기기 출처를 확인할 수 없거나 영향을 받은 생태계에 속한다면 네트워크 연결을 끊고, 판매자나 제조업체에 연락해 교체 또는 재설치에 관한 검증된 지침을 요청하세요. Google의 설명처럼 해당 구성요소가 시스템 펌웨어에 저장돼 재시작 후 복구된다면, 초기화와 앱 삭제만으로 충분하다고 간주해서는 안 됩니다. 포럼에서 출처가 불분명한 펌웨어 이미지를 설치하지 마세요. 잘못된 이미지는 기기를 사용할 수 없게 만들거나 새로운 위험을 초래할 수 있습니다.
셋톱박스로 계정에 로그인했거나 개인 정보를 표시한 적이 있다면, 다른 신뢰할 수 있는 기기에서 계정 활동을 확인하고 타인의 접근 흔적이 있으면 비밀번호를 변경하세요. 이는 계정 보호를 위한 조치이지 셋톱박스 자체를 치료하는 방법은 아니므로 기기 문제는 별도로 해결해야 합니다.
작전 이후 남은 과제
Google은 XCPE를 Videostrong 백도어의 의도적인 설치 및 상업적 사용과 연관 지었습니다. 또한 관련 모듈의 제어 도메인을 차단하면 XCPE 외부의 감염 기기 1,000만 대 이상도 해당 도메인에 접근하지 못하게 될 수 있다고 추산했습니다. 이는 공통 인프라에 대한 조치가 가져올 수 있는 효과에 관한 Google의 추정치이지, 실제로 치료된 기기의 확인된 수치는 아닙니다.
사용자에게 중요한 실질적 결론은 간단합니다. 출처를 알 수 없거나 Videostrong 펌웨어를 사용하는 셋톱박스라면 앱을 삭제하고 재부팅해도 안전하다는 확신을 얻을 수 없습니다. 모델과 출처를 확인한 뒤 기기를 교체하거나 검증된 펌웨어 복구 절차를 이용하는 편이, 눈에 보이는 구성요소 하나를 직접 지우려는 것보다 타당합니다.
