Daily News Korea

[태그:] 봇넷

  • 안드로이드 TV 박스 130만 대 봇넷…인증 확인법

    안드로이드 TV 박스 130만 대 봇넷…인증 확인법

    3줄 요약

    • 구글의 안드로이드 제조 파트너였던 Videostrong이 셋톱박스 등 기기 130만 대에 백도어를 심어 봇넷으로 운영했다. 구글은 이 회사를 인증 기기 생태계에서 내보냈다.
    • 공장에서부터 심어진 악성코드는 초기화로 지워지지 않는다. 내 TV 박스가 ‘Play 프로텍트 인증’ 기기인지부터 확인하자.
    • 인증도 만능은 아니다. 셋톱박스 같은 IoT 기기는 게스트 네트워크로 분리하고, 출처를 알 수 없는 앱 설치 권한은 꺼두는 것이 현실적인 방어선이다.

    거실 TV 옆 셋톱박스가 주인 모르게 광고를 누르고, 낯선 사람의 인터넷 트래픽을 대신 실어 나른다. 이런 기기가 130만 대였다. 구글은 안드로이드 제조 파트너였던 중국 선전의 Videostrong Technology가 이 기기들에 백도어를 ‘의도적으로’ 심어 봇넷으로 굴렸다고 밝혔고, 더버지가 이를 전했다. 안드로이드 TV 박스를 쓰고 있다면 당장 할 일은 두 가지다. Play 스토어 설정에서 인증 여부를 확인할 것, 그리고 셋톱박스를 노트북·스마트폰과 같은 네트워크에 두지 말 것. 초기화로 해결되지 않는 이유와 메뉴 경로, 감염 의심 신호, 다음 기기를 고르는 기준을 차례로 적었다.

    공장에서 심은 백도어는 초기화로 지워지지 않는다

    봇넷은 악성코드에 감염돼 원격 명령을 받는 기기 무리다. 명령을 내리는 쪽은 C2(명령·제어) 서버. 감염 기기는 이 서버가 시키는 대로 광고를 누르거나 트래픽을 중계한다. 보통은 사용자가 수상한 앱을 깔면서 감염이 시작되지만, 이번 건은 출발점부터 다르다. 구글 설명으로는 악성코드가 여러 해에 걸쳐 여러 모델과 브랜드의 기기에 ‘직접 내장’됐다. 사용자가 기기를 처음 켜고 나면 난독화 기법으로 악성 코드를 불러오는 구조였다.

    대처법이 갈리는 지점이 바로 여기다. 공장 초기화는 기기를 출고 상태로 되돌리는 기능이다. 출고 상태 자체에 백도어가 들어 있었다면, 초기화 후 다시 켜는 순간 같은 과정이 되풀이된다고 보는 게 자연스럽다. 앱을 지우거나 초기화하는 식의 일반적인 악성코드 대응이 먹히지 않는 이유다. 사용자 실수로 생긴 감염이 아니라 제품에 처음부터 들어 있던 문제라서, 개인이 손쓸 수 있는 범위도 그만큼 좁다.

    피해는 TV 박스에서 끝나지 않았다. 대부분은 안드로이드 TV 셋톱박스였지만 원격 진료 기기, 노래방 기기, 디지털 사이니지처럼 안드로이드를 운영체제로 쓰는 IoT 기기도 감염 목록에 올랐다. 돈을 번 방식도 구글이 짚었다. Videostrong이 XCPE라는 이 백도어의 접근권을 범죄 조직에 팔고, 그 조직들의 악성 모듈을 감염 기기에 올려줬다는 판단이다. 구글은 이 모듈들이 쓰는 C2 도메인도 막았다. 같은 조직들이 XCPE 말고도 다른 유통 경로를 갖고 있어서, 이 차단으로 최소 1,000만 대의 추가 감염 기기에 대한 접근이 끊길 것으로 구글은 추산했다. 130만 대는 전체 판의 일부였다는 얘기다.

    봇넷에 묶인 셋톱박스가 주인 몰래 하는 네 가지

    구글이 밝힌 악성 활동은 네 갈래로 나뉜다. 각각의 작동 방식과 기기 주인에게 남는 위험을 나란히 놓으면 이렇다.

    악성 활동 작동 방식 소유자에게 남는 위험
    광고 사기 화면에 보이지 않는 광고를 기기가 몰래 불러오거나 클릭해 광고비를 가로챈다 기기 성능과 인터넷 대역폭이 남의 돈벌이에 쓰인다
    데이터 유출 기기 안의 정보를 외부 서버로 빼돌린다 기기에 로그인한 계정이나 집 네트워크 정보가 새어 나갈 수 있다
    주거용 프록시 등록 우리 집 인터넷 회선을 남의 트래픽이 드나드는 출구로 빌려준다 제3자의 행위가 우리 집 IP 주소로 기록될 수 있다
    추가 악성코드 설치 열려 있는 백도어로 다른 악성 모듈을 계속 내려받는다 피해 범위가 시간이 갈수록 넓어진다

    넷 중 가장 낯설고, 동시에 가장 찜찜한 게 주거용 프록시다. 데이터센터 IP는 웹사이트들이 쉽게 걸러낸다. 평범한 가정집 IP를 거치면 사정이 다르다. 차단을 피하기가 훨씬 쉬워진다. 그래서 가정 회선을 빌려 쓰는 프록시 서비스가 거래되고, 그 회선 일부가 이런 감염 기기에서 나온다. 셋톱박스 주인은 아무것도 안 했는데 집 IP가 자동화된 계정 공격이나 대량 데이터 수집의 출발지로 찍힐 수 있다는 뜻이다. 광고 사기는 대역폭을 갉아먹는 선에서 끝날 수도 있지만, 이쪽은 남이 한 일에 내 주소가 붙는다는 점에서 무게가 다르다. 자주 가던 사이트에서 보안 문자 확인이 유난히 잦아졌다면 집 IP가 의심 목록에 올랐을 가능성도 있다.

    Play 프로텍트 인증 여부는 Play 스토어 설정에서 확인

    구글 인증 기기는 구글의 호환성·보안 테스트를 통과해 Play 스토어와 구글 앱을 정식으로 탑재한 기기다. 이번 제재도 이 인증 체계를 축으로 걸렸다. 구글은 Videostrong이 인증 안드로이드 기기를 만들거나 팔지 못하게 했고, 그런 기기에 소프트웨어를 공급하는 길도 막았다. 인증 여부는 판매 페이지 문구보다 기기 안에서 직접 보는 쪽이 정확하다. 판매 페이지 문구야 판매자가 얼마든지 쓸 수 있으니까. 제조사와 안드로이드 버전에 따라 메뉴 이름이 조금씩 다를 수 있다는 점은 미리 감안하자.

    1. TV 박스에서: Google Play 스토어 앱 실행 → 프로필 아이콘 → 설정 → 정보 → ‘Play 프로텍트 인증’ 항목 확인. TV용 Play 스토어는 기기마다 화면 구성이 달라 ‘정보’ 항목 위치가 다를 수 있다(불확실). Google TV 기기에서 Play 스토어가 홈 화면에 안 보이면 설정 → 앱 → 모든 앱 보기에서 찾을 수 있다(불확실).
    2. 결과 읽기: ‘기기 인증됨'(영문 Device is certified)이면 구글 인증 기기, ‘기기 미인증'(Device is not certified)이면 인증을 받지 않은 기기다.
    3. Play 스토어 자체가 없다면: 인증 기기에는 Play 스토어가 기본으로 들어간다. 아예 없거나 제조사 자체 앱 장터만 있다면 비인증 기기로 보는 게 맞다.
    4. 스마트폰·태블릿에서: Play 스토어 → 오른쪽 위 프로필 아이콘 → 설정 → 정보 → Play 프로텍트 인증. 화면 구조가 비슷해서, TV 박스 메뉴가 헷갈릴 때 비교 기준으로 삼기 좋다.

    인증을 확인했으면 외부 앱 설치 권한도 같이 보자. Google TV는 설정 → 앱 → 보안 및 제한사항 → 출처를 알 수 없는 앱(구형 Android TV는 설정 → 기기 환경설정 → 보안 및 제한사항)에서 앱별로 끌 수 있다. 파일 관리자나 브라우저에 이 권한이 켜져 있으면 외부에서 받은 설치 파일이 아무 제지 없이 깔릴 수 있다. 인증이 공장 단계의 안전장치라면, 이 권한은 쓰는 단계의 안전장치인 셈이다. 스마트폰에서는 Play 스토어 → 프로필 아이콘 → Play 프로텍트 → 스캔으로 설치된 앱 검사를 돌릴 수 있다.

    감염 의심 신호 다섯 가지와 손쓰는 순서

    기대치부터 낮추자. 구글이 설명한 백도어는 난독화로 숨겨져 있었고, 주인 모르게 돌아가도록 설계됐다. 화면에 경고가 뜨는 식으로 알아챌 가능성은 낮다는 얘기다. 아래 신호는 ‘확진’이 아니라 ‘의심’의 근거 정도로만 쓰는 게 맞다.

    • TV를 끈 대기 상태에서도 박스가 뜨겁거나 팬 소리가 계속 난다
    • 집에서 아무도 인터넷을 쓰지 않는데 공유기 트래픽 표시등이 쉴 새 없이 깜빡인다
    • 설치한 적 없는 앱이 앱 목록에 보인다
    • 집에서 접속하는 사이트마다 보안 문자 확인이나 접속 제한이 자주 걸린다
    • Play 프로텍트 인증 확인 결과가 ‘미인증’이다

    하나라도 해당되면 다음 순서로 움직이면 된다.

    1. 전원과 랜선을 뽑는다: 가장 확실한 차단이다. 와이파이로 연결했다면 공유기에서 해당 기기의 접속을 막아도 된다.
    2. 박스에 로그인했던 계정 비밀번호를 바꾼다: 구글 계정, OTT 계정 등이 대상이다. 구글 계정은 다른 기기에서 구글 계정 관리 → 보안 → 내 기기로 들어가 박스를 로그아웃시킬 수 있다.
    3. 공유기를 점검한다: 공유기 관리자 페이지 → 연결된 기기 목록(제조사에 따라 ‘DHCP 클라이언트 목록’, ‘내부 네트워크 정보’ 등으로 표기, 불확실)에서 모르는 기기가 붙어 있지 않은지 본다. 관리자 비밀번호가 아직 기본값이라면 이참에 바꾸자.
    4. 계속 써야 한다면 격리한다: 공유기 관리자 페이지 → 무선 설정 → 게스트 네트워크(제조사에 따라 ‘멀티 SSID’, ‘게스트 Wi-Fi’, 불확실)를 만들고 셋톱박스만 그쪽에 붙인다. 게스트 네트워크는 보통 내부 기기 간 접근을 막는다. 박스가 감염돼 있더라도 노트북이나 NAS로 번지는 길이 그만큼 좁아진다.
    5. 초기화보다 교체를 먼저 검토한다: 앱으로 깔린 악성코드라면 초기화가 통한다. 펌웨어에 내장된 경우는 다르다. 초기화 후에도 남는다. 정상적인 해결 경로는 제조사 공식 펌웨어 업데이트뿐인데, 제조사 자체가 원인이라면 이 길도 기대하기 어렵다.

    순서로는 마지막이지만 무게는 5번이 가장 크다. 문제의 출발점이 제조사인 이상, 펌웨어를 고쳐줄 주체가 사실상 없는 기기를 계속 붙들고 있을 이유는 약하다. 당장 바꾸기 어렵다면 4번의 격리가 그때까지 버티는 현실적인 차선책이다.

    해외 직구 TV 박스 사용자라면 달라지는 세 가지

    해외 쇼핑몰에서 안드로이드 TV 박스를 직접 사서 쓰는 사람에게 실제로 달라지는 건 세 가지다.

    • 브랜드명으로는 판단할 수 없다: 구글은 악성코드가 ‘여러 모델과 브랜드’에 들어갔다고 밝혔지만 구체적인 모델 목록은 내놓지 않았다. 직구 제품은 같은 기판에 상표만 바꿔 파는 일이 흔하다. 상표만 보고 안심하기 어려운 이유다. 앞에서 설명한 인증 확인이 사실상 유일한 1차 판별법.
    • 인증 라벨의 신뢰도는 조금 올라간다(추측): Videostrong은 더는 인증 기기를 만들거나 팔 수 없고, 구글은 제조사 심사 절차를 바꿨다고 밝혔다. 인증 기기 쪽 문턱이 높아진 만큼, 인증 여부를 기준으로 고르는 전략의 효용은 커질 것으로 보인다.
    • 비인증 기기는 여전히 통제 밖이다(추측): 구글의 제재는 인증 생태계 안에서만 작동한다. 인증과 무관하게 유통되는 저가 박스는 이 조치의 직접적인 영향권 밖이라, 직구 시장에서 비슷한 기기가 계속 팔릴 가능성이 있다.

    매장에서 노래방 기기나 광고용 디스플레이를 돌리는 자영업자라면 챙길 게 하나 더 있다. 구글이 감염 기기로 노래방 기기와 디지털 사이니지를 함께 꼽았다. 이런 장비가 안드로이드 기반이라면 손님용 와이파이, 결제 단말과는 네트워크를 나눠 두는 편이 안전하다. 결제 단말이 같은 망에 물려 있다면 우선순위는 더 올라간다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 중국 선전의 Videostrong Technology가 백도어를 심은 기기 130만 대가 봇넷으로 운영됨
    • 구글은 백도어와 봇넷이 금전적 이익을 위해 의도적으로 개발·배포·운영됐다고 판단
    • 감염 기기 대부분은 안드로이드 TV 셋톱박스이며, 원격 진료 기기·노래방 기기·디지털 사이니지도 포함
    • 악성 활동은 광고 사기, 데이터 유출, 무단 트래픽 중계(주거용 프록시 등록), 추가 악성코드 설치
    • 구글은 백도어를 해체하고 Videostrong과 관계를 끊었으며, 인증 안드로이드 기기 제조·판매와 소프트웨어 공급을 금지
    • 제휴 범죄 조직의 C2 도메인 차단으로 최소 1,000만 대 추가 감염 기기의 접근이 끊길 것이라는 구글 추산
    • 구글의 기기 제조사 심사 절차 변경

    아직 불확실한 것

    • 감염된 기기의 구체적인 모델명과 브랜드 목록
    • 국내로 유통된 감염 기기의 규모
    • 이미 판매된 기기에서 악성 코드 자체가 제거되는지 여부
    • 구글이 바꾼 제조사 심사 절차의 세부 내용
    • 감염 기기 소유자를 위한 교체·보상 방안

    다음 셋톱박스는 인증·업데이트·용도 순으로 거른다

    새 기기를 고를 때 가격이나 사양부터 비교하기 시작하면 끝이 없다. 기준 세 가지를 먼저 세우면 선택지가 확 줄어든다.

    • 호환성: 구글 인증 기기인가 — 제품 설명에 ‘Google TV’ 또는 ‘Android TV’가 명시돼 있는지 보고, 받자마자 앞의 메뉴 경로로 인증 여부를 확인한다. ‘Android 기반’, ‘Android OS 탑재’처럼 운영체제 이름만 적힌 박스는 비인증일 가능성을 의심해볼 만하다. 확인은 구매처 반품 기간 안에 끝내자. 그래야 미인증일 때 돌려보낼 수 있다.
    • 업데이트: 누가 책임지는가 — 제조사 이름과 연락처가 분명한지, 보안 업데이트를 내온 이력이 있는지를 본다. 펌웨어를 고칠 수 있는 주체는 제조사뿐이다. 제조사가 불분명하면 문제가 생겨도 고칠 방법이 없다.
    • 용도·예산: 꼭 별도 박스가 필요한가 — OTT 시청이 목적이라면 TV에 내장된 스마트 기능이나 인증받은 스트리밍 기기로 충분한 경우가 많다. ‘유료 채널 무료’, ‘평생 무료 시청’ 같은 문구를 앞세운 박스는 불법 스트리밍 앱이 미리 깔려 나오기도 하고, 정상적인 업데이트 경로도 기대하기 어렵다. 공짜 채널 몇 개와 맞바꾸기엔 집 네트워크가 떠안는 위험이 너무 크다.

    어떤 기기를 고르든 네트워크 분리는 기본값으로 두자. Videostrong은 구글의 제조 파트너였고, 구글은 사건 뒤 제조사 심사 절차를 손봤다. 인증 단계에서도 놓친 게 있었다는 뜻으로 읽힌다. 인증은 최소 조건일 뿐이다. 게스트 네트워크와 출처 불명 앱 차단이 그 빈틈을 메우는 두 번째 울타리다.

    출처: The Verge

    관련 기사

  • 구글, 셋톱박스 130만대로 봇넷 굴린 中제조사 퇴출

    구글, 셋톱박스 130만대로 봇넷 굴린 中제조사 퇴출

    3줄 요약

    • 구글은 안드로이드 제조 파트너였던 중국 선전의 비디오스트롱이 기기 130만 대에 일부러 백도어를 심고 봇넷을 운영했다고 밝혔다. 구글은 이 회사와 관계를 끊었다.
    • 감염된 기기는 주인 모르게 광고 사기, 데이터 유출, 주거용 프록시에 쓰였다. 구글은 범죄 조직의 C2 도메인까지 막아 추가 감염 기기 최소 1,000만 대와의 연결을 끊었다고 평가했다.
    • 감염된 브랜드와 모델명은 공개되지 않았다. 출처가 불분명한 저가 안드로이드 TV 박스를 쓰고 있다면 점검해볼 만하다.

    거실 TV에 꽂아둔 안드로이드 셋톱박스가 주인도 모르는 사이 광고 사기에 동원되고, 낯선 사람의 인터넷 트래픽을 실어 나르는 통로가 됐다. 외부 해커가 침입한 일은 아니었다. 구글은 기기를 만든 회사가 처음부터 노리고 벌인 일이라고 판단했다.

    구글이 자사 안드로이드 제조 파트너였던 중국 선전의 비디오스트롱(Videostrong Technology Co.)을 이 봇넷의 운영 주체로 지목했다고 더버지가 전했다. 비디오스트롱이 몰래 백도어를 심은 기기는 130만 대다. 구글은 백도어를 해체했고 이 회사와의 관계도 끊었다.

    출고 때 숨어 있다가 첫 부팅 뒤 깨어난 백도어

    제품 한두 개에서 그친 일이 아니다. 구글은 악성코드가 ‘여러 해에 걸쳐 다양한 기기 모델과 브랜드에 직접 내장’돼 있었다고 설명했다. 감염 기기 대부분은 안드로이드 TV 셋톱박스였다. 원격진료 기기, 노래방 기계, 디지털 사이니지처럼 안드로이드로 돌아가는 사물인터넷(IoT) 기기도 감염됐다.

    숨긴 방식은 치밀했다. 비디오스트롱은 ‘난독화 기법’을 써서, 사용자가 기기를 처음 켠 뒤에야 악성코드를 기기에 올렸다. 출고 때는 숨어 있다가 첫 부팅 뒤에 작동하는 구조여서, 겉모습을 살피거나 처음 몇 번 써보는 정도로는 알아채기 어려웠을 것으로 보인다.

    구글은 이 백도어와 봇넷이 ‘돈을 벌려고 의도적으로 개발하고 배포하고 운영한 것’이라고 못 박았다. 관리가 허술했거나 하청업체가 실수한 정도의 문제가 아니라는 뜻이다. 제조사가 직접 벌인 사업이었다는 게 구글의 주장이다.

    백도어 접근권을 범죄 조직에 세놓은 ‘임대 사업’

    비디오스트롱은 백도어를 일종의 임대업으로 돈벌이에 썼다. 백도어 접근권을 범죄 협력 조직에 팔고, 이 조직들이 만든 악성코드 모듈을 감염 기기에 대신 올려줬다. 구글 설명에서 이 백도어는 ‘XCPE’라는 이름으로 나온다. 감염 기기가 동원된 용도는 크게 네 가지다.

    • 광고 사기: 감염 기기를 주인 모르게 광고 사기에 동원
    • 주거용 프록시 편입: 감염 기기를 몰래 주거용 프록시 네트워크에 등록
    • 추가 악성코드 설치: XCPE에 감염된 기기에 다른 악성코드를 더 설치
    • 데이터 유출·무단 트래픽 경유: 기기에서 데이터를 빼내고, 허가받지 않은 네트워크 트래픽을 통과시킴

    넷 가운데 일반 사용자에게 가장 낯선 건 주거용 프록시다. 낯설다고 가볍게 넘길 일은 아니다. 남의 트래픽이 우리 집 회선과 IP 주소를 거쳐 나가므로, 밖에서 보면 그 트래픽이 우리 집에서 나온 것으로 보인다. 평범한 가정집 접속처럼 위장할 수 있기 때문에 주거용 프록시가 악용된다.

    피해 규모도 130만 대가 전부가 아니다. 범죄 협력 조직들은 XCPE 말고도 저마다 여러 유포 경로를 갖고 있었다. 구글은 이 모듈들을 조종하는 명령·제어(C2) 도메인을 무력화했다. 구글은 이 조치로 감염 기기 최소 1,000만 대에 대한 범죄 조직의 접근이 끊길 것으로 평가했다. 백도어가 직접 심긴 기기보다 훨씬 많은 수다. 다만 실제 규모를 따로 확인한 수치가 아니라 구글의 자체 평가치다.

    구분 규모·대상 구글 조치
    비디오스트롱 백도어 내장 기기 130만 대 (안드로이드 TV 셋톱박스 중심, 원격진료 기기·노래방 기계·디지털 사이니지 포함) 백도어 해체
    범죄 협력 조직의 악성코드 모듈 XCPE 외 경로로 감염된 기기 최소 1,000만 대 (구글 평가) C2 도메인 무력화
    제조사 비디오스트롱 중국 선전 소재 안드로이드 제조 파트너 관계 단절, 인증 안드로이드 기기 제조·판매와 관련 소프트웨어 공급 금지
    제조사 심사 절차 안드로이드 기기 제조 파트너 전반 심사 절차 변경 (세부 내용 미공개)

    가해자는 공식 파트너, 앱만 조심해서는 못 막는다

    이번 사건이 무거운 이유는 가해자가 구글의 공식 안드로이드 제조 파트너였기 때문이다. 안드로이드 보안 사고는 보통 수상한 앱을 깔거나 피싱 링크를 누르면서 시작된다. 이번에는 시작부터 달랐다. 기기가 처음부터 백도어가 들어간 채 출고됐다. 사용자가 아무리 조심했어도 사실상 피할 방법이 없었다.

    공급 구조의 약점도 드러났다. 한 제조사가 여러 브랜드에 하드웨어와 소프트웨어를 함께 대는 구조에서는 한 곳만 오염돼도 이름이 다른 수많은 제품이 한꺼번에 감염된다. 구글이 비디오스트롱에 기기 제조·판매뿐 아니라 소프트웨어 공급까지 금지한 것도 이 경로를 막으려는 조치로 읽힌다.

    한계도 분명하다. 구글의 조치는 결국 사후 대응이다. 악성코드가 ‘여러 해’ 동안 여러 브랜드에 들어갔다면, 그 기간 내내 파트너 관리 체계가 이를 걸러내지 못했다는 뜻이기도 하다. 구글은 제조사 심사 절차를 바꿨다고만 밝혔고, 무엇을 어떻게 바꿨는지는 공개하지 않았다. 세부 내용이 나오기 전까지는 재발 방지 효과를 장담하기 어렵다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 구글은 중국 선전의 비디오스트롱을 백도어·봇넷 운영 주체로 지목하고 관계를 끊었다
    • 백도어 내장 기기는 130만 대로, 대부분 안드로이드 TV 셋톱박스다. 원격진료 기기, 노래방 기계, 디지털 사이니지도 포함됐다
    • 감염 기기는 광고 사기, 데이터 유출, 무단 트래픽 경유, 주거용 프록시에 쓰였다
    • 구글은 백도어를 해체하고 범죄 협력 조직의 C2 도메인을 무력화했다
    • 비디오스트롱은 인증 안드로이드 기기 제조·판매와 소프트웨어 공급이 금지됐고, 구글은 제조사 심사 절차를 바꿨다

    아직 불확실한 것

    • 감염된 브랜드와 모델명 목록
    • 감염 기기가 팔린 국가, 지역별 규모, 국내 유통 여부
    • 감염 기기가 구글 인증 제품이었는지 여부
    • 이미 감염된 기기에 사용자가 직접 해야 할 조치(초기화, 업데이트 등)가 있는지 여부
    • 유출된 데이터의 종류와 범위
    • 추가 감염 기기 1,000만 대의 실제 규모 (구글의 평가치)
    • 바뀐 제조사 심사 절차의 구체적 내용과 비디오스트롱 측 입장

    직구 셋톱박스·업소용 사이니지, 국내에서 확인할 것

    국내 사용자에게 가장 아쉬운 점은 감염된 브랜드와 모델명이 공개되지 않았다는 것이다. 비디오스트롱 제품이 국내에 들어왔는지도 확인되지 않았다. 지금으로서는 내 기기가 해당되는지 바로 판별할 방법이 없다.

    해외 직구나 오픈마켓에서 처음 보는 브랜드의 저가 안드로이드 TV 박스를 샀다면 경계할 이유는 충분하다. 피해 기기 대부분이 안드로이드 TV 셋톱박스였고, 한 제조사의 소프트웨어가 여러 브랜드를 달고 팔렸다. 상자에 적힌 브랜드만 보고는 기기에 든 소프트웨어를 누가 만들었는지 가늠하기 어렵다. 아래는 이번 사건을 바탕으로 한 일반적인 점검 방향이며, 감염 여부를 확정하는 방법은 아니다.

    • 구글 인증 표기 확인: 이번 일로 인증이 만능이 아니라는 게 드러났다. 그래도 구글이 제조사 퇴출이나 심사 강화 같은 통제 수단을 쓸 수 있는 건 인증 체계 안에 있는 기기다 (추정)
    • 안 쓰는 기기는 전원 분리: 꺼진 기기는 광고 사기에도, 프록시 통로로도 쓰일 수 없다
    • 이상 징후 체크: 집에서 특정 사이트 접속이 자주 막힌다면 연결된 저가 IoT 기기를 의심해볼 수 있다. 주거용 프록시로 쓰이면 우리 집 IP가 남의 트래픽 출발지로 찍히기 때문이다 (추정)

    매장용 디지털 사이니지, 노래방 기계, 원격진료 기기를 운영하는 사업자도 마찬가지다. 구글이 감염 사례로 이 기기들을 직접 꼽았다. 국내 업소에 같은 제조사 제품이 들어갔는지는 아직 드러나지 않았다. 그래도 납품받은 안드로이드 기반 장비의 제조사와 소프트웨어 공급처는 한 번 확인해둘 만하다. 싼 셋톱박스 가격표에 없던 비용을 그동안 우리 집 인터넷 회선이 대신 치르고 있었던 셈이다.

    출처: The Verge

    관련 기사

  • 팝콘타임 방치 업데이터, 보안업체가 원격으로 껐다

    팝콘타임 방치 업데이터, 보안업체가 원격으로 껐다

    3줄 요약

    • 개발이 멈춘 팝콘타임 파생판 ‘Time4Popcorn’의 업데이터가 아직 윈도·맥OS·안드로이드 기기에서 돌고 있었다. 이 업데이터는 주인 없는 도메인에 암호화되지 않은 HTTP로 접속하고 있었다.
    • 보안업체 아이 시큐리티는 그중 도메인 하나를 직접 등록했다. 이어 업데이터가 스스로 꺼지게 하는 업데이트를 보냈고, 3월까지 200만 건 이상 내려받혔다.
    • 안드로이드 기기는 이번 조치에서 빠졌다. 예전에 이 앱을 설치한 적이 있다면 직접 지우는 편이 안전하다.

    200만 건 이상. 보안업체 아이 시큐리티가 남이 만든 소프트웨어에 ‘작동을 멈추라’는 업데이트를 밀어 넣었다. 3월까지 그 업데이트가 내려받힌 횟수가 이 정도다. 대상은 2010년대 ‘불법복제판 넷플릭스’로 불린 팝콘타임의 파생판.

    남의 프로그램을 원격으로 꺼 버렸으니 말이 나올 수밖에 없는 일이다. 그래도 연구진의 판단은 분명하다. 공격자가 먼저 손을 댔다면 전 세계 기기를 한꺼번에 움직이는 봇넷이 생길 수 있었다는 것이다.

    주인 없는 도메인 하나가 수백만 대 봇넷의 열쇠였다

    팝콘타임은 영화·TV 프로그램 토렌트를 스트리밍 앱처럼 쉽게 보게 해 준 프로그램이다. 미국영화협회(MPAA)가 2010년대에 가장 싫어한 앱으로 꼽힐 정도로 이름이 났다. 개발은 몇 년 전에 끊겼다.

    프로그램까지 같이 사라지지는 않았다. 더버지는 이 프로그램이 지금도 수백만 대 기기에 깔린 채 ‘봇 군단’에 끌려 들어가기만 기다리는 상태라고 짚었다.

    아이 시큐리티(Eye Security) 연구진이 들여다본 것은 팝콘타임의 포크(파생 버전)인 ‘Time4Popcorn’의 업데이터다. 세계 곳곳의 윈도·맥OS·안드로이드 기기에서 이 업데이터가 아직 돌고 있었고, 상태는 이랬다.

    • 접속 대상: 지금은 운영이 끊긴 웹 도메인
    • 통신 방식: 암호화되지 않은 HTTP
    • 내장 구성 요소: 오래되고 보안이 취약한 크롬 버전

    하나씩 떼어 보면 흔한 결함이다. 세 가지가 한 프로그램에 겹치면서 문제가 커졌다.

    아이 시큐리티의 닐스 테우싱크(Niels Teusink)는 이 업데이터로 사실상 어떤 소프트웨어든 전체 권한으로 설치하고 실행할 수 있었다고 설명했다. 그가 든 악용 시나리오는 세 가지다.

    • 버려진 도메인 하나를 차지해 업데이트를 받는 기기를 모두 봇넷으로 묶는 방법
    • 중간자(MITM) 공격으로 특정 기기만 골라 노리는 방법
    • 이 소프트웨어가 깔린 기기를 찾아내 감시에 쓰는 방법

    뿌리는 셋 다 같아 보인다. 업데이터가 받은 파일이 어디서 왔는지 제대로 확인하지 못하는 구조다. 암호화되지 않은 HTTP로 주인 없는 주소에 접속하는 한 그 주소를 먼저 차지한 쪽이 기기를 움직이게 된다.

    셋 가운데 가장 무거운 건 첫 번째다. 중간자 공격은 기기를 하나씩 노려야 하지만, 도메인은 한 번만 등록하면 업데이트를 받는 기기 전부에 닿는다. 연구진이 실제로 쓴 방법도 이것이었다.

    아이 시큐리티, 버려진 도메인 먼저 등록해 업데이터 정지

    연구진의 해법은 단순했다. 공격자가 쓸 통로를 먼저 차지하는 것. 버려진 도메인 하나를 직접 등록한 뒤, 업데이터에 스스로 작동을 멈추라는 업데이트를 내려보냈다.

    운영체제마다 방식이 달랐다. 연구진은 윈도에서 파일을 지우거나 다른 부분을 건드리지 않았다고 밝혔다.

    운영체제 연구진의 조치 비고
    윈도 서비스 제어 관리자(Service Control Manager)로 업데이트 서비스를 멈추고 비활성화 파일 삭제 등 다른 변경 없음
    맥OS 셸 스크립트로 업데이트 프로세스가 시작되지 못하게 막는 명령 실행 —
    안드로이드 조치하지 않음 업데이트를 설치하려면 사용자가 먼저 직접 조작해야 함

    안드로이드가 빠진 이유는 표의 비고 칸에 있다. 사용자가 직접 손을 대야 업데이트가 깔리는 구조여서 원격으로 밀어 넣는 방식이 먹히지 않았다.

    배포 도중에는 웃지 못할 일도 있었다. 업데이트 파일이 바이러스토탈(VirusTotal)에 올라가자 보안 프로그램들이 이를 악성코드로 분류해 막아 버렸다. 정작 취약한 업데이터는 멀쩡히 남았다. 연구진은 업데이트를 고쳐서 다시 내보내야 했다.

    보안 프로그램만 탓하기도 어렵다. 남의 기기에서 원격으로 코드를 실행하는 파일이니, 겉으로는 악성코드와 구분하기 힘들었을 것이다(해석).

    위험에 노출된 기기가 정확히 몇 대였는지는 알 수 없다. 아이 시큐리티는 3월까지 200만 건 이상의 업데이트 다운로드를 내보낸 뒤 배포를 멈췄다. 사용한 도메인은 비영리 웹보안 단체인 섀도서버 재단(Shadowserver Foundation)에 넘겼다.

    Time4Popcorn 깔았던 안드로이드폰, 직접 지워야 한다

    원문에는 나라별 설치 현황이 없다. 영향을 받은 기기가 전 세계에 흩어져 있었으니 국내에도 예전에 설치한 기기가 남아 있을 수 있다(추측).

    이번 조치로 위험이 다 사라진 것도 아니다. 연구진의 업데이트는 업데이터만 멈췄을 뿐 프로그램은 지우지 않았다. 나머지 정리는 사용자가 해야 한다.

    • 안드로이드: 비활성화 업데이트를 아예 받지 못했다. 예전에 Time4Popcorn 계열 앱을 설치했다면 앱 목록에서 직접 지우는 편이 안전하다.
    • 윈도·맥OS: 업데이트 서비스는 멈췄어도 프로그램 파일은 그대로다. 구형 크롬이 들어 있는 앱이니 쓰지 않는다면 지우는 편이 낫다(해석).
    • 기업·공용 PC: 설치한 사람조차 잊은 오래된 프로그램이 사내망에 남아 있을 수 있다. IT 담당자라면 자산 목록에서 개발이 끊긴 소프트웨어를 한 번 훑어볼 만하다(해석).

    개발이 멈춰도 이미 깔린 프로그램은 백그라운드에서 바깥 서버로 계속 접속할 수 있다. 이번에 드러난 게 바로 그 점이다. 이 업데이터도 아무 기능 없이 주인 없는 주소에 접속만 이어 가고 있었다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • Time4Popcorn 업데이터는 윈도·맥OS·안드로이드 기기에서 돌면서 버려진 도메인에 암호화되지 않은 HTTP로 접속했고, 구형 크롬을 쓰고 있었다.
    • 아이 시큐리티는 도메인 하나를 등록해 업데이터를 비활성화하는 업데이트를 보냈다.
    • 바이러스토탈 업로드 뒤 보안 프로그램들이 이 업데이트를 악성코드로 분류해 막았고, 연구진은 업데이트를 고쳐야 했다.
    • 3월까지 200만 건 이상의 업데이트 다운로드가 나갔다. 그 뒤 배포는 멈췄고 도메인은 섀도서버 재단으로 넘어갔다.

    아직 불확실한 것

    • 실제로 위험에 노출됐던 기기 수. 다운로드 건수가 곧 기기 수인지는 원문으로 확인되지 않는다.
    • 이 업데이터가 실제 공격에 쓰인 적이 있는지. 원문은 악용 ‘가능성’만 다룬다.
    • 조치에서 빠진 안드로이드 기기가 얼마나 남아 있는지.
    • 국내를 포함한 나라별 설치 규모.

    동의 없는 원격 조치, 연구진은 ‘무대응보다 낫다’고 했다

    원문은 이번 조치에 윤리적 우려가 있었다는 사실만 짧게 전하고, 어떤 우려였는지는 풀어 쓰지 않았다. 쟁점은 사용자 동의 없이 남의 기기에서 코드를 실행했다는 점으로 보인다.

    연구진도 그 점을 알고 있었다. 그럼에도 유일한 대안은 “아무것도 하지 않는 것”이었다는 게 연구진의 답이다. 업데이트 과정은 원래 아무 기능도 하지 않았고 사용자에게 위험만 만들고 있었다는 설명이다.

    조치 범위를 좁게 잡은 것도 이런 비판을 의식한 결과로 보인다(해석).

    • 윈도: 파일은 남기고 서비스만 정지
    • 배포: 3월에 종료
    • 도메인: 비영리 보안 단체 섀도서버 재단에 이관

    연구진이 그 통로를 계속 쥐고 있지 않겠다는 뜻으로 읽힌다(해석). 업데이터가 정말 아무 기능도 없었다면, 꺼진다고 사용자가 잃는 것은 없다. ‘무대응보다 낫다’는 주장이 설득력을 갖는 이유다.

    근본 문제는 그대로 남아 있다. 개발이 끊긴 소프트웨어의 업데이트 주소가 방치되면, 그 주소를 누가 먼저 차지하느냐에 따라 수많은 기기가 안전할 수도 있고 공격에 넘어갈 수도 있다. 이번엔 보안업체가 먼저였다. 다음에도 그럴 거라는 보장은 없다.

    출처: The Verge

    관련 기사