값싼 스트리밍 박스를 의심스럽게 쳐다본 적이 있는 사람이라면 전혀 놀랄 일이 아닌 소식이 전해졌다. 구글이 안드로이드 제조 파트너 중 하나가 130만 대 기기에 몰래 백도어를 심어 봇넷으로 만들었다는 사실을 확인한 것이다. 구글은 이제 그 백도어를 해체했고, 해당 제조사인 중국 선전 소재 비디오스트롱 테크놀로지(Videostrong Technology Co.)와 "관계를 끊었다"고 밝혔다. 비디오스트롱은 인증된 안드로이드 기기를 제조·판매하거나 관련 소프트웨어를 공급하는 것이 금지됐다.

감염된 기기들은 소유자 몰래 "악성 활동"에 동원됐다. 광고 사기, 데이터 유출, 무단 네트워크 트래픽 라우팅 등이 포함된다. 구글은 "백도어와 봇넷이 금전적 이득을 위해 의도적으로 개발, 배포, 운영됐다"고 주장한다. 놀랍다니 정말 다행이다. 구글은 성명에서 비디오스트롱이 범죄 제휴업체들에게 접근 권한을 판매하고 해당 업체들의 악성코드 모듈을 감염 기기에 탑재해 백도어를 수익화했다고 설명했다. 이 2차 모듈들은 광고 사기를 실행하고, 감염 기기를 주거용 프록시 네트워크에 몰래 등록하며, XCPE에 감염된 기기에 추가 악성코드를 로드했다.

구글은 또한 이러한 제휴 모듈을 운영하는 명령제어(C2) 도메인을 차단하는 조치를 취했다. 제휴업체들이 XCPE 외에도 다양한 유통 채널을 보유하고 있기 때문에, 구글은 이들의 C2 도메인을 차단하면 최소 1,000만 대의 추가 감염 기기에 대한 접근이 차단될 것으로 평가한다. 그나마 다행인 점은, 단 1,000만 대의 기기만 더 이 판에 가담했다는 것이다.

영향을 받은 기기 모델은 하나가 아니었다. 악성코드는 "수년에 걸쳐 여러 다양한 기기 모델과 브랜드에 직접 내장된" 것으로 발견됐다. 대부분은 안드로이드 TV 셋톱박스였지만, 봇넷은 "원격의료 기기, 노래방 기기, 디지털 사이니지 기기를 포함한 다른 안드로이드 기반 IoT 기기"에도 감염시켰다. '신뢰할 수 있는 의료 장비'에 광고 사기가 곁들여지는 것만큼 어울리는 조합도 없지 않은가.

구글은 비디오스트롱이 사용자가 하드웨어를 처음 부팅한 후 악성코드를 기기에 로드하기 위해 "난독화 기법"을 사용했다고 밝혔다. 또한 이번 사건 이후 기기 제조사에 대한 검토 절차를 변경했다고 한다. 아마도 윙크는 줄이고 실제 확인은 늘리는 방향이겠지.