요약:
Google은 최근 Android TV 생태계에 영향을 미치는 대규모 보안 사고를 공개했습니다. 공식 인증을 받은 안드로이드 TV 기기 제조사가 오랫동안 자사 제품에 숨겨진 백도어를 사전 설치해 악성코드 유포를 목적으로 제3자에게 접근권한을 판매해 온 것으로 드러났다. 구글은 조사가 끝난 뒤 관련 업체와의 협력 관계를 전면 끊고, 해당 악성 네트워크 인프라를 폐쇄하는 법적 조치를 취하겠다고 밝혔다.
Google이 공개한 정보에 따르면 관련 회사는 중국 선전에 있는 제조업체인 Videostrong입니다. 이 회사는 한때 공식 인증된 안드로이드 TV 셋톱박스 제품을 생산했지만, 조사 결과 여러 모델과 브랜드의 기기에 원격 제어가 가능한 백도어를 이식하고, 관련 기기를 관리하고 악성코드를 유포하기 위한 완전한 서버 네트워크를 구축한 것으로 드러났다.
구글은 이러한 악성 프로그램이 직원 개인의 사적인 행위도 아니고, 개발 오류로 인해 발생한 우발적인 사건도 아니라고 밝혔습니다. 조사관들은 이 시스템이 수년간 지속적으로 운영되어 왔으며 전문화된 인프라를 갖추고 있으며 지속적으로 다운스트림 파트너와 악성 모듈을 관리하기 위한 회피 탐지 메커니즘을 지속적으로 업데이트하고 있음을 발견했습니다. 이러한 조사 결과를 토대로 Google은 Videostrong과의 모든 협력을 종료하고 Videostrong 및 그 계열사가 향후 Google 애플리케이션이 사전 설치된 인증된 Android 기기를 생산하는 것을 금지하기로 결정했습니다.
후속 조치로 Google은 XCPE 봇넷을 제어하는 데 사용되는 도메인 이름과 서버에 대해 법적 조치를 취하고 관련 제어 링크를 성공적으로 차단했습니다. 동시에 회사는 Videostrong 및 그 계열사가 향후 다른 인증된 Android 장치 제조업체에 소프트웨어 서비스를 제공하는 것을 금지합니다.
보안 조사에 따르면 이번 사건의 영향은 일반적인 악성 코드 전송 사례를 훨씬 능가하는 것으로 나타났습니다. 가짜 안드로이드 기기에 주로 등장했던 기존 악성 프로그램과 달리, 해당 제품은 구글이 인증한 안드로이드 TV 기기라는 점에서 소비자들은 일반적으로 제품 구매 시 공식 보안 감사를 통과한 것으로 믿고 있는 것으로 나타났다.
조사 결과 공격자는 인증 감지를 우회하기 위해 특별한 전략을 사용한 것으로 나타났습니다. 그들은 공장에서 출고될 때 장치에 숨겨진 코드를 미리 설치하지만 난독화 기술을 사용하여 테스트 프로세스를 우회하고 사용자가 처음으로 장치를 시작할 때까지 기다렸다가 악성 모듈을 다운로드하거나 활성화합니다. 이를 통해 관련 제품은 호환성 및 안전성 테스트를 성공적으로 통과하여 인증 자격을 획득할 수 있습니다.
Google은 이번 사건으로 자사 인증 시스템에 허점이 드러났다고 인정했습니다. 회사는 관련 공급업체가 검토 과정에서 빈 공간을 활용하여 악성 코드가 사용자 장치에 로드되는 것을 지연시켰다고 말했습니다. 유사한 상황이 다시 발생하지 않도록 Google은 인증 및 검토 메커니즘을 업그레이드하여 기기 펌웨어 및 후속 소프트웨어 동작을 확인하는 기능을 강화하고 있습니다.
보안 기관의 통계에 따르면 영향을 받는 기기는 주로 Android TV 및 Google TV 셋톱박스 분야에 집중되어 있으며, 그 중 Mecool 브랜드 제품이 영향을 받는 주요 대상 중 하나로 간주됩니다. TV 박스 외에도 일부 디지털 사이니지 장비, 노래방 장비, 원격의료 단말기에서도 동일한 악성 구성요소가 발견됐다.
Google은 관련 제어 서버를 종료한 후 공격자가 다수의 기기를 원격으로 제어할 수 있는 능력을 상실했다고 밝혔습니다. 회사에서는 이번 작전이 현재 확인된 감염 기기에만 영향을 미친 것이 아니라, 최소 1천만 대 이상의 추가 감염 기기와 공격자 사이의 통신 채널을 차단해 추가적인 악성 활동의 확산을 막는 것으로 추정하고 있다.
조사 결과 이러한 백도어는 추가 악성 코드 설치, 광고 사기 수행, 프록시 네트워크 구축 및 기타 사이버 범죄 활동 수행에 사용될 수 있는 것으로 나타났습니다. 높은 시스템 권한으로 인해 감염된 장치는 대규모 봇넷 시스템에 포함될 수 있으며 사용자가 모르는 사이에 공격자에게 네트워크 리소스를 제공할 수 있습니다.
Google은 기기 제조업체가 악의적인 백도어가 있는 사용자에게 고의로 제품을 판매하도록 허용하는 것은 소비자의 신뢰를 심각하게 배신하는 것이라고 강조했습니다. 제어 서버가 종료되어 현재 영향을 받는 장비에 대한 위험이 크게 줄어들었지만, 관련 제품을 사용하는 사용자에게는 장비의 출처를 평가하고 평판이 좋은 브랜드 제품으로 교체하는 것을 고려하는 것이 여전히 더 안전한 선택입니다.
이 사건은 Android TV 플랫폼 개발 과정에서 가장 심각한 공급망 보안 사고 중 하나가 되었습니다. 관련 장비가 공식 인증을 받았기 때문에 스마트 TV 하드웨어 공급망의 보안에 대한 우려가 제기되었을 뿐만 아니라 Google은 인증 시스템을 재검토하고 장비 제조업체에 대한 감독을 더욱 강화했습니다.
댓글