분석

Google, Android TV 박스 130만 대의 XCPE 봇넷을 무력화하고 제조사 Videostrong을 퇴출

Google은 XCPE가 130만 대 넘게 편입했다며 Videostrong의 소행으로 높은 신뢰도로 판단해 퇴출했다. 제3자 주장은 미확인이다.

작성: Audryk · 2026년 11월 3일

• #Google
• #XCPE
• #Videostrong
• #봇넷
• #Android TV
• #공급망

2026년 11월 2일, Google Threat Intelligence Group(GTIG)은 XCPE에 관한 보고서를 공개했다. XCPE는 이 그룹에 따르면 130만 대가 넘는 기기를 편입한 백도어이며, 대부분은 Android TV 셋톱박스다. Google은 이를 높은 신뢰도로, 선전에 본사를 둔 Android OEM/ODM 제조사 Videostrong Technology Co.의 소행이라고 판단했고, 이 회사와 관계를 끊었다고 밝혔다. 이것은 Google의 귀속 판단이지 법원의 판단이 아니다. 우리는 아무것도 시험하지 않았다.

핵심 요약

• Google의 설명: 130만 대가 넘는 박스가 편입됐다. Videostrong의 소행이라고 높은 신뢰도로 판단했다.
• Google의 조치: 관계를 끊고, Videostrong에 인증 Android 기기 제조를 금지했으며, 봇넷 서버를 상대로 법적 조치를 취했다.
• 남은 것: 서버는 내려갔지만 BleepingComputer에 따르면 백도어는 감염된 박스에 남아 있고, 깨끗한 펌웨어가 필요하다.
• 확인되지 않은 것: 감염이 어디서 일어났는지, 아직 감염된 박스가 몇 개인지, Videostrong의 입장.

Google은 규모와 귀속에 대해 무엇을 말하는가

Google은 XCPE가 130만 대가 넘는 기기를 편입했다고 밝혔다. 대부분 Android TV 박스이고, Android IoT 기기(원격 의료, 노래방, 디지털 사이니지)도 일부 있다. 보고서는 국가를 나열하지 않는다. Google은 백도어와 봇넷을 Videostrong의 소행으로 보며, 이 회사가 의도적으로, 금전 목적으로 개발·배포·운영했고, 범죄 제휴자에게 접근 권한을 팔았다고 설명한다. Google은 이것이 「an isolated rogue insider or a development oversight」, 즉 단독 내부자의 일탈이나 개발상의 실수가 아니라고 쓴다.

이와는 별도로 Google은 이번 법적 조치가 다른 경로로 감염된 최소 1000만 대의 다른 기기에 대한 접근도 끊는다고 추산한다. 다른 제조사의 기기이며 모두 Android는 아니다. 두 수치는 별개이므로 더하면 안 된다.

출처: Google GTIG 보고서.

소프트웨어는 어떻게 박스에 들어갔는가

Google에 따르면 주된 백도어는 펌웨어의 시스템 파티션에 미리 탑재돼 있고, 시스템 권한으로 실행되며, 삭제하면 /oem/ 파티션에서 스스로 다시 설치된다. 수년에 걸쳐 많은 모델과 브랜드에 들어갔다. Google은 Videostrong이 난독화를 이용해 Google의 호환성·보안 테스트의 허점을 파고들었고, 첫 부팅 뒤에 악성 코드를 불러왔다고 말한다.

감염이 공장에서, 펌웨어에서, 아니면 무선 업데이트로 일어났는지는 Google이 밝히지 않았다. BleepingComputer가 인용한 Synthient는 2025년 말에 구입한 MECOOL KM9PRO Max에서 악성코드가 사전 설치돼 있는 것을 발견했다. 따라서 「공장 출고 때부터」라는 표현은 Google이 말한 것보다 한 걸음 더 나간 것이다.

Videostrong에 어떤 조치가 취해졌는가

Google은 Videostrong과 관계를 끊었다. 이 회사와 장차의 자회사·제휴사가 인증 Android 기기를 제조·판매하는 것과 인증 제조사에 소프트웨어를 공급하는 것을 금지했고, Google 앱이 사전 설치된 기기를 제조하는 것도 금지했다. BleepingComputer는 이를 라이선스 취소로 표현한다. Google은 심사 절차와 인증 Android TV 기기의 펌웨어 무결성 검증도 강화했다.

봇넷의 명령 도메인과 서버, 그리고 모듈로 불러온 십여 개가 넘는 악성코드 계열의 명령 도메인을 내리기 위해 법적 조치를 취했다. 파트너에는 일본 경찰, Lumen, HUMAN Security, Plume, Synthient, TrendAI가 있다.

박스에는 무엇이 남고, Google은 무엇을 권하는가

명령 서버는 내려갔지만 백도어는 기기에 남아 있다. BleepingComputer에 따르면 악성코드는 감염된 박스에서 제거되지 않으며, 깨끗한 펌웨어가 필요하고, 네트워크에서 분리하면 악성 활동이 멈춘다. Google, BleepingComputer, Help Net Security는 2026년 8월부터 운영자들이 시스템 앱으로 위장한 드로퍼를 쓰고 있다고 덧붙인다.

Google이 소비자에게 권하는 것은 「대역폭 공유」 대가로 돈을 준다는 앱을 경계하고, 믿을 수 있는 앱 스토어를 쓰고, 서드파티 VPN·프록시 앱의 권한을 확인하고, Google Play Protect를 켜 두고, Android TV 파트너 목록을 통해 평판 좋은 제조사의 박스를 사는 것이다.

확인되지 않은 것은 무엇인가

출처: Google GTIG 보고서와 언론 보도(자동 요약으로 읽음).

감염이 어디서 일어났는지, 아직 감염된 박스가 몇 개인지. Videostrong의 입장은 보도된 것이 없고, CyberScoop에 따르면 Google은 캠페인을 언제 어떻게 발견했는지 밝히지 않았다. Synthient의 단서는 보도된 내용으로, 우리가 검증하지 못했다. 백도어와 Videostrong R&D 책임자의 PDF가 들어 있던 서버의 공개 디렉터리, 명령 서버와 IP 주소를 공유한 videostrong.cn 도메인, 백도어 서명에 쓰인 Videostrong의 이메일 주소다. TrendAI의 국가별·미국 수치(비교표 참조)도 검증하지 못했고, Google 보고서는 국가를 나열하지 않는다.

비교표

자주 묻는 질문

Google은 감염이 공장에서 일어났다고 말하는가

아니다. 백도어가 펌웨어의 시스템 파티션에 미리 탑재돼 있고 많은 모델에 들어갔다고만 설명하며, 어디서 언제(공장, 펌웨어, 업데이트)인지는 밝히지 않는다. Synthient는 구입 시점에 이미 감염돼 있던 박스를 발견했다.

무력화하면 감염된 박스가 깨끗해지는가

BleepingComputer에 따르면 그렇지 않다. 서버는 내려갔지만 백도어는 남고 깨끗한 펌웨어가 필요하다. 박스를 네트워크에서 분리하면 악성 활동이 멈춘다.

130만 대와 1000만 대는 같은 집계인가

아니다. 130만 대는 편입된 박스에 대한 Google의 수치다. 최소 1000만 대는 다른 경로로 감염된 다른 기기에 대한 별개 수치다. 더하면 안 된다.

방법과 한계

Google의 GTIG 보고서, BleepingComputer, Help Net Security, CyberScoop은 전문이 아니라 자동 요약으로 읽었다. The Hacker News는 직접 읽으려 하니 오류(403)가 나서 읽은 것으로 인용하지 않는다. 국가별·미국 수치는 TrendAI의 것이고 Synthient의 단서는 보도된 내용이며, 둘 다 검증하지 못했다. Videostrong의 입장은 찾지 못했다. 우리는 아무것도 시험하지 않았다. 개인 상황에 맞춘 보안 조언이 아니다.

출처

• Google Threat Intelligence Group 「Shutting the door on the XCPE botnet」(2026년 11월 2일), 자동 요약으로 읽음
• BleepingComputer(Lawrence Abrams, 11월 2일), 자동 요약으로 읽음
• Help Net Security(Mirko Zorz, 11월 2일), 자동 요약으로 읽음
• CyberScoop(11월 2일), 자동 요약으로 읽음

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책