구글, 셋톱박스 130만대로 봇넷 굴린 中제조사 퇴출

거실 TV에 꽂아둔 안드로이드 셋톱박스가 주인도 모르는 사이 광고 사기에 동원되고, 낯선 사람의 인터넷 트래픽을 실어 나르는 통로가 됐다. 외부 해커가 침입한 일은 아니었다. 구글은 기기를 만든 회사가 처음부터 노리고 벌인 일이라고 판단했다.

구글이 자사 안드로이드 제조 파트너였던 중국 선전의 비디오스트롱(Videostrong Technology Co.)을 이 봇넷의 운영 주체로 지목했다고 더버지가 전했다. 비디오스트롱이 몰래 백도어를 심은 기기는 130만 대다. 구글은 백도어를 해체했고 이 회사와의 관계도 끊었다.

출고 때 숨어 있다가 첫 부팅 뒤 깨어난 백도어

제품 한두 개에서 그친 일이 아니다. 구글은 악성코드가 ‘여러 해에 걸쳐 다양한 기기 모델과 브랜드에 직접 내장’돼 있었다고 설명했다. 감염 기기 대부분은 안드로이드 TV 셋톱박스였다. 원격진료 기기, 노래방 기계, 디지털 사이니지처럼 안드로이드로 돌아가는 사물인터넷(IoT) 기기도 감염됐다.

숨긴 방식은 치밀했다. 비디오스트롱은 ‘난독화 기법’을 써서, 사용자가 기기를 처음 켠 뒤에야 악성코드를 기기에 올렸다. 출고 때는 숨어 있다가 첫 부팅 뒤에 작동하는 구조여서, 겉모습을 살피거나 처음 몇 번 써보는 정도로는 알아채기 어려웠을 것으로 보인다.

구글은 이 백도어와 봇넷이 ‘돈을 벌려고 의도적으로 개발하고 배포하고 운영한 것’이라고 못 박았다. 관리가 허술했거나 하청업체가 실수한 정도의 문제가 아니라는 뜻이다. 제조사가 직접 벌인 사업이었다는 게 구글의 주장이다.

백도어 접근권을 범죄 조직에 세놓은 ‘임대 사업’

비디오스트롱은 백도어를 일종의 임대업으로 돈벌이에 썼다. 백도어 접근권을 범죄 협력 조직에 팔고, 이 조직들이 만든 악성코드 모듈을 감염 기기에 대신 올려줬다. 구글 설명에서 이 백도어는 ‘XCPE’라는 이름으로 나온다. 감염 기기가 동원된 용도는 크게 네 가지다.

• 광고 사기: 감염 기기를 주인 모르게 광고 사기에 동원
• 주거용 프록시 편입: 감염 기기를 몰래 주거용 프록시 네트워크에 등록
• 추가 악성코드 설치: XCPE에 감염된 기기에 다른 악성코드를 더 설치
• 데이터 유출·무단 트래픽 경유: 기기에서 데이터를 빼내고, 허가받지 않은 네트워크 트래픽을 통과시킴

넷 가운데 일반 사용자에게 가장 낯선 건 주거용 프록시다. 낯설다고 가볍게 넘길 일은 아니다. 남의 트래픽이 우리 집 회선과 IP 주소를 거쳐 나가므로, 밖에서 보면 그 트래픽이 우리 집에서 나온 것으로 보인다. 평범한 가정집 접속처럼 위장할 수 있기 때문에 주거용 프록시가 악용된다.

피해 규모도 130만 대가 전부가 아니다. 범죄 협력 조직들은 XCPE 말고도 저마다 여러 유포 경로를 갖고 있었다. 구글은 이 모듈들을 조종하는 명령·제어(C2) 도메인을 무력화했다. 구글은 이 조치로 감염 기기 최소 1,000만 대에 대한 범죄 조직의 접근이 끊길 것으로 평가했다. 백도어가 직접 심긴 기기보다 훨씬 많은 수다. 다만 실제 규모를 따로 확인한 수치가 아니라 구글의 자체 평가치다.

가해자는 공식 파트너, 앱만 조심해서는 못 막는다

이번 사건이 무거운 이유는 가해자가 구글의 공식 안드로이드 제조 파트너였기 때문이다. 안드로이드 보안 사고는 보통 수상한 앱을 깔거나 피싱 링크를 누르면서 시작된다. 이번에는 시작부터 달랐다. 기기가 처음부터 백도어가 들어간 채 출고됐다. 사용자가 아무리 조심했어도 사실상 피할 방법이 없었다.

공급 구조의 약점도 드러났다. 한 제조사가 여러 브랜드에 하드웨어와 소프트웨어를 함께 대는 구조에서는 한 곳만 오염돼도 이름이 다른 수많은 제품이 한꺼번에 감염된다. 구글이 비디오스트롱에 기기 제조·판매뿐 아니라 소프트웨어 공급까지 금지한 것도 이 경로를 막으려는 조치로 읽힌다.

한계도 분명하다. 구글의 조치는 결국 사후 대응이다. 악성코드가 ‘여러 해’ 동안 여러 브랜드에 들어갔다면, 그 기간 내내 파트너 관리 체계가 이를 걸러내지 못했다는 뜻이기도 하다. 구글은 제조사 심사 절차를 바꿨다고만 밝혔고, 무엇을 어떻게 바꿨는지는 공개하지 않았다. 세부 내용이 나오기 전까지는 재발 방지 효과를 장담하기 어렵다.

확인된 것과 아직 불확실한 것

확인된 것

• 구글은 중국 선전의 비디오스트롱을 백도어·봇넷 운영 주체로 지목하고 관계를 끊었다
• 백도어 내장 기기는 130만 대로, 대부분 안드로이드 TV 셋톱박스다. 원격진료 기기, 노래방 기계, 디지털 사이니지도 포함됐다
• 감염 기기는 광고 사기, 데이터 유출, 무단 트래픽 경유, 주거용 프록시에 쓰였다
• 구글은 백도어를 해체하고 범죄 협력 조직의 C2 도메인을 무력화했다
• 비디오스트롱은 인증 안드로이드 기기 제조·판매와 소프트웨어 공급이 금지됐고, 구글은 제조사 심사 절차를 바꿨다

아직 불확실한 것

• 감염된 브랜드와 모델명 목록
• 감염 기기가 팔린 국가, 지역별 규모, 국내 유통 여부
• 감염 기기가 구글 인증 제품이었는지 여부
• 이미 감염된 기기에 사용자가 직접 해야 할 조치(초기화, 업데이트 등)가 있는지 여부
• 유출된 데이터의 종류와 범위
• 추가 감염 기기 1,000만 대의 실제 규모 (구글의 평가치)
• 바뀐 제조사 심사 절차의 구체적 내용과 비디오스트롱 측 입장

직구 셋톱박스·업소용 사이니지, 국내에서 확인할 것

국내 사용자에게 가장 아쉬운 점은 감염된 브랜드와 모델명이 공개되지 않았다는 것이다. 비디오스트롱 제품이 국내에 들어왔는지도 확인되지 않았다. 지금으로서는 내 기기가 해당되는지 바로 판별할 방법이 없다.

해외 직구나 오픈마켓에서 처음 보는 브랜드의 저가 안드로이드 TV 박스를 샀다면 경계할 이유는 충분하다. 피해 기기 대부분이 안드로이드 TV 셋톱박스였고, 한 제조사의 소프트웨어가 여러 브랜드를 달고 팔렸다. 상자에 적힌 브랜드만 보고는 기기에 든 소프트웨어를 누가 만들었는지 가늠하기 어렵다. 아래는 이번 사건을 바탕으로 한 일반적인 점검 방향이며, 감염 여부를 확정하는 방법은 아니다.

• 구글 인증 표기 확인: 이번 일로 인증이 만능이 아니라는 게 드러났다. 그래도 구글이 제조사 퇴출이나 심사 강화 같은 통제 수단을 쓸 수 있는 건 인증 체계 안에 있는 기기다 (추정)
• 안 쓰는 기기는 전원 분리: 꺼진 기기는 광고 사기에도, 프록시 통로로도 쓰일 수 없다
• 이상 징후 체크: 집에서 특정 사이트 접속이 자주 막힌다면 연결된 저가 IoT 기기를 의심해볼 수 있다. 주거용 프록시로 쓰이면 우리 집 IP가 남의 트래픽 출발지로 찍히기 때문이다 (추정)

매장용 디지털 사이니지, 노래방 기계, 원격진료 기기를 운영하는 사업자도 마찬가지다. 구글이 감염 사례로 이 기기들을 직접 꼽았다. 국내 업소에 같은 제조사 제품이 들어갔는지는 아직 드러나지 않았다. 그래도 납품받은 안드로이드 기반 장비의 제조사와 소프트웨어 공급처는 한 번 확인해둘 만하다. 싼 셋톱박스 가격표에 없던 비용을 그동안 우리 집 인터넷 회선이 대신 치르고 있었던 셈이다.

출처: The Verge

글로벌뉴스 데스크

Daily News Korea 글로벌뉴스 데스크는 전 세계 IT·기술 뉴스를 실시간으로 모니터링하여 한국 독자에게 가장 중요한 소식을 전합니다. 실리콘밸리, 유럽, 아시아의 최신 기술 동향을 한국 시장 관점에서 분석합니다.