구글이 자사의 안드로이드 기기 제조 파트너사 중 하나인 중국 선전(Shenzhen) 기반의 비디오스트롱 테크놀로지(Videostrong Technology Co.)가 130만 대 이상의 셋톱박스(set-top box)를 봇넷으로 전환했다고 발표했습니다. 이 회사는 기기에 백도어를 의도적으로 심어 사용자 동의 없이 광고 사기, 데이터 유출, 무단 네트워크 트래픽 라우팅 등 악성 활동에 활용한 것으로 밝혀졌습니다. 구글은 해당 백도어를 해체하고 비디오스트롱과의 모든 관계를 단절했으며, 이 회사는 더 이상 안드로이드 인증 기기를 제조하거나 판매할 수 없게 되었습니다.
비디오스트롱은 이 백도어를 통해 범죄 조직에 접근 권한을 판매하고, 이들의 악성 모듈을 감염된 기기에 로드하여 수익을 창출했습니다. 이러한 악성 모듈은 광고 사기를 벌이거나, 감염된 기기를 주거용 프록시 네트워크(residential proxy networks)에 몰래 등록하는 데 사용되었습니다. 감염된 기기는 주로 안드로이드 TV 셋톱박스였지만, 원격 의료 기기, 노래방 기기, 디지털 사이니지(digital signage) 등 다양한 안드로이드 기반 사물 인터넷(IoT) 기기에서도 악성코드가 발견되었습니다. 구글은 비디오스트롱이 기기 부팅 후 악성코드를 로드하기 위해 난독화(obfuscation) 기술을 사용했다고 설명했습니다.
이번 사건은 안드로이드 생태계 내에서 공급망 보안(supply chain security)의 중요성을 다시 한번 일깨워줍니다. 제조사가 의도적으로 악성코드를 심어 대규모 봇넷을 구축할 수 있다는 사실은 사용자 신뢰와 플랫폼의 무결성에 심각한 위협이 됩니다. 구글은 이번 사건 이후 기기 제조사에 대한 검토 프로세스를 강화했다고 밝혔지만, 광범위한 안드로이드 기기 생태계에서 유사한 문제가 재발하지 않도록 지속적인 감시와 강력한 보안 조치가 필요할 것입니다. 사용자들은 알 수 없는 출처의 저가형 안드로이드 기기 구매 시 더욱 주의를 기울여야 할 필요가 있습니다.