구글이 안드로이드 기기 제조 파트너사인 중국 선전(Shenzhen) 기반의 비디오스트롱 테크놀로지(Videostrong Technology Co.)가 130만 대 이상의 기기에 악성코드를 심어 봇넷을 구축했다고 밝혔습니다. 이 회사는 사용자 몰래 기기를 이용해 광고 사기, 데이터 유출, 무단 네트워크 트래픽 라우팅 등 악의적인 활동을 벌였으며, 구글은 이 사실을 인지한 후 해당 파트너사와 모든 관계를 단절하고 백도어를 해체했습니다.
비디오스트롱은 안드로이드 TV 셋톱박스를 비롯해 헬스케어 기기, 노래방 기기, 디지털 사이니지(digital signage) 등 다양한 안드로이드 기반 사물인터넷(IoT) 기기에 수년간 악성코드를 내장해왔습니다. 구글에 따르면, 이들은 재정적 이득을 위해 백도어와 봇넷을 의도적으로 개발, 배포, 운영했으며, 범죄 조직에 접근 권한을 판매하고 이들의 악성코드 모듈을 감염된 기기에 로드했습니다. 구글은 이러한 행위를 막기 위해 명령 및 제어(C2) 도메인을 차단하는 조치도 취했으며, 이를 통해 최소 1천만 대 이상의 추가 감염 기기에 대한 접근을 차단할 수 있을 것으로 보고 있습니다.
이번 사건은 안드로이드 생태계 내에서 공급망 보안의 중요성을 다시 한번 일깨워줍니다. 기기 제조사가 의도적으로 악성코드를 심는 행위는 사용자 신뢰를 심각하게 훼손하며, 구글은 이번 사건을 계기로 기기 제조사 검토 프로세스를 강화했다고 밝혔습니다. 이는 단순히 특정 기업의 일탈을 넘어, 광범위한 안드로이드 IoT 기기들이 잠재적인 보안 위협에 노출될 수 있음을 보여주며, 앞으로 기기 구매 시 제조사의 신뢰도와 보안 업데이트 지원 여부를 더욱 신중하게 고려해야 할 필요성을 시사합니다.