Google은 안드로이드 제조 협력사 중 한 곳이 기기 130만 대에 백도어를 심었다고 밝혔다. 이 내용은 The Verge가 처음 보도했다. 감염된 기기는 소유자 모르게 광고 사기, 데이터 유출, 무단 네트워크 트래픽 전달에 이용됐다. Google은 백도어를 차단하고 해당 제조사와의 관계를 끊었다고 밝혔다.
중국 선전에 본사를 둔 Videostrong Technology Co.는 인증된 안드로이드 기기를 제조하거나 판매하고, 해당 기기용 소프트웨어를 공급하는 것이 금지됐다.
피해 기기의 대부분은 안드로이드 TV 셋톱박스였지만, 여러 해에 걸쳐 다양한 모델과 브랜드의 기기에 악성코드가 직접 내장된 것으로 확인됐다. 피해 기기에는 원격의료 기기, 노래방 기기, 디지털 사이니지 기기 등 안드로이드 기반 IoT 기기도 포함됐다.
Google에 따르면 Videostrong은 범죄 조직에 백도어 접근 권한을 판매하고, 감염된 기기에 이들의 악성코드 모듈을 설치해 수익을 올렸다. 해당 모듈은 광고 사기를 저지르고, 감염된 기기를 사용자 몰래 주거용 프록시 네트워크에 등록했으며, XCPE가 침해된 기기에 추가 악성코드를 설치했다.
Google은 백도어와 봇넷이 금전적 이익을 위해 의도적으로 개발·배포·운영됐다고 설명했다. 또한 Videostrong은 사용자가 하드웨어를 처음 부팅한 뒤 기기에 악성코드를 설치하기 위해 난독화 기법을 사용했다고 밝혔다.
이번 사건은 여러 하드웨어 범주에 악성코드가 내장되고, 제휴사 모듈이 명령 및 제어 도메인을 통해 작동한 사례다.
Google은 제휴사 모듈을 운영하는 명령 및 제어(C2) 도메인을 무력화하기 위한 조치를 취했다고 밝혔다. 또한 이번 사건 이후 기기 제조사에 대한 검토 절차를 변경했다고 설명했다.
Google은 해당 도메인을 차단하면 XCPE 외에도 다양한 배포 경로를 통해 모듈을 유포해 온 제휴사들이 추가로 침해한 기기 최소 1,000만 대에 대한 접근이 차단될 것으로 보고 있다.