구글이 TV 박스 안에 숨은 봇넷을 해체하고, 그 박스를 만든 제조사를 지목했다. 2026년 11월 2일 구글 위협 인텔리전스 그룹은 'Shutting the Door on the XCPE Botnet'이라는 보고서를 공개하며 XCPE 봇넷에 200개가 넘는 국가와 지역에서 130만 대가 넘는 기기가 등록됐고, 그 압도적 다수가 안드로이드 TV 셋톱박스였다고 밝혔다. 구글은 선전에 본사를 둔 제조사 Videostrong이 금전적 이익을 위해 백도어를 의도적으로 펌웨어에 심고 배포·운영했다고 '높은 확신'을 갖고 평가했다. 구글은 해당 업체와의 거래 관계를 끊고 인증 안드로이드 기기 제조를 영구히 금지했다.
백도어는 펌웨어에 숨어 검사 때는 잠자고 있었다
XCPE 백도어의 핵심은 x.cpe라는 프로그램으로, 일부 펌웨어에서는 com.oemservice라는 이름으로도 나타나며 안드로이드 시스템 수준 권한으로 실행된다. 사용자가 앱을 다운로드할 때 들어온 것이 아니라 출고 전 펌웨어에 기록된 것이다. 구글 조사에 따르면 Videostrong은 검사 제출 기간에 백도어를 휴면 상태로 유지해 호환성·보안 검사를 피했고, 기기 최초 부팅 이후에야 악성 페이로드를 불러왔다. 삭제해도 재부팅 후 펌웨어 파티션에서 다시 설치된다. 영향을 받은 기기는 TV 박스만이 아니었다. 원격 의료 기기, 노래방 기기, 디지털 사이니지도 포함됐다. Videostrong은 자사 브랜드 MECOOL로 TV 박스를 판매하는 한편 다른 브랜드를 위한 위탁 생산도 맡고 있어 같은 백도어가 여러 브랜드와 모델에서 발견됐다. 감염된 기기는 이후 범죄 조직에 임대돼 광고 사기, 프록시 트래픽, 추가 악성 소프트웨어 설치에 쓰였다.
단속 범위는 130만 대를 넘어섰다
이번 단속 작전은 10월 하순에 이뤄졌고 11월 2일에야 공개됐다. 구글은 일본 경찰청, Lumen, HUMAN Security, Plume, Synthient, TrendAI와 협력해 법적 조치를 통해 봇넷의 명령 서버와 도메인을 압수했다. 구글은 연관 조직의 명령 인프라를 무너뜨리면 최소 1천만 대의 추가 감염 기기에 대한 범죄자들의 접근도 차단할 수 있을 것으로 평가했다. 이 1천만 대는 XCPE 자체가 아니라 같은 유통 경로를 통해 감염된 다른 기기다. 구글은 또 인증 안드로이드 기기의 펌웨어 무결성 검사를 강화해 검사 때는 잠자고 최초 부팅 후에 작동하는 허점을 막았다고 밝혔다.
두 가지 경계를 분명히 해야 한다. 첫째, 130만 대에 대한 귀속은 구글 위협 인텔리전스 그룹의 평가이지 법원의 판단이 아니다. 둘째, 구글의 보고서는 이미 출고된 기기에서 일반 사용자가 백도어를 스스로 제거할 방법을 제시하지 않았다. 차단된 것은 명령 체계이지 각 기기 안의 펌웨어가 아니다. 저렴한 안드로이드 TV 박스를 산 사람들에게 진짜 문제는 기기 자체에 남아 있다. 출고 펌웨어에 기록된 백도어는 공장 초기화를 해도 제거되지 않을 수 있다.
