130만 대 안드로이드 TV 박스의 배임: 하드웨어 공급망 백도어와 주거용 프록시 범죄 생태계 해부
중국 제조사 하드웨어 백도어로 130만 대 셋톱박스를 레지덴셜 프록시 망으로 탈바꿈시킨 XCPE 봇넷의 적발 내역과 기업 보안팀의 인프라 방어 대책을 분석한다.
발행일: 2026.11.08
확산 차단 대상 IoT 장비 1,000만 대
사모펀드 1.3억 달러 유치 플랫폼 연계
가계 IP 우회 기반 침투 트래픽 차단
구글 위협 인텔리전스 그룹(GTIG)과 사이버 보안 업계가 안드로이드 TV 셋톱박스 130만 대 이상을 숙주로 삼은 대규모 봇넷 ‘XCPE’의 제어 인프라를 전격 해체했다. 이번 조치로 원격 의료 기기, 노래방 기기, 디지털 사이니지 등 동일 계열 안드로이드 사물인터넷(IoT) 장비 1,000만 대 이상으로 확산할 뻔한 2차 침투 경로가 함께 차단됐다.
조사 결과 중국 선전 소재 셋톱박스 제조사 비디오스트롱(Videostrong Technology Co.)은 공장 출하 및 초기 부팅 단계에서 악성코드를 강제 로드하는 백도어를 기기 내부 소프트웨어에 직접 삽입했다. 정상 호환성 및 보안 검사를 통과한 것처럼 위장한 뒤 기기가 최종 소비자 네트워크에 연결되는 순간 주거용(레지덴셜) 프록시 소프트웨어를 무단 구동하는 수법을 썼다.
하드웨어 제조 단계부터 불법 대역폭 재판매까지의 4단계 라이프사이클
제조사(Videostrong)가 기기 초기 부팅 루틴에 악성 모듈(XCPE) 사전 탑재
기기 첫 부팅 시 감염 서버와 통신하며 레지덴셜 프록시 SDK 자동 다운로드
가정용 회선 IP를 프록시 플랫폼 풀에 등록하고 사용자 인지 없이 대역폭 임대
공격자가 신뢰도 높은 가계 IP를 경유해 계정 탈취(ATO) 및 광고 사기 감행
제조사 출하 단계에서 설계된 펌웨어 백도어와 감염 메커니즘
XCPE 봇넷의 핵심 코드는 일반적인 피싱이나 사용자 다운로드 오류로 감염된 것이 아니다. 유통망에 진입하기 전 하드웨어 제조사가 펌웨어 빌드 파이프라인에 악성 모듈을 직접 패키징했다. 사용자가 시중에서 기기를 구매해 전원을 켜고 가정 내 와이파이나 이더넷에 연결하면 기기 첫 부팅 절차에서 백도어 제어 서버와 연결되어 추가 페이로드를 끌어왔다.
백도어는 기기 통제권을 확보한 뒤 서드파티 프록시 서비스의 소프트웨어 개발 키트(SDK)를 주기적으로 내려받아 백그라운드 프로세스로 상시 구동했다. 사용자 TV 화면에는 정상적인 안드로이드 미디어 런처가 노출되지만, 백그라운드에서는 통신사(ISP)가 할당한 실제 가정용 공인 IP 주소가 글로벌 레지덴셜 프록시 마켓플레이스에 판매용 노드로 등록됐다.
조사 과정에서는 비디오스트롱 제품뿐 아니라 스카이워스(Skyworth Technology)의 서브 브랜드인 미쿨(MECOOL), 인플루언서 마케팅으로 확산된 슈퍼박스(Superbox) 등 유명 저가형 스트리밍 기기에서도 동일 계열 악성코드와 프록시 모듈이 발견됐다. 불법 유료 방송 무료 시청 기능을 미끼로 기기를 판매한 뒤, 구매자의 인터넷 회선 전체를 범죄 조직의 IP 세탁용 인프라로 무단 재판매해 이중 수익을 챙긴 구조다.
상용 레지덴셜 프록시 플랫폼과 결합한 불법 수익화 구조
이번 사건은 언더그라운드 봇넷 인프라가 합법적인 데이터 수집 벤더를 표방하는 상용 레지덴셜 프록시 플랫폼과 얼마나 긴밀하게 결합해 있는지 명확히 보여준다. 기기에서 발견된 모듈은 앱솔트(AppSalt, 허니게인/Honeygain 계열), 넷넛(NetNut), 그래스(Grass), 언에프엠(EarnFM), 트래픽모네타이저(Traffmonetizer) 등 다수의 프록시 공급망과 연결되어 있었다.
공격자가 일반 클라우드 IP 대신 불법 탈취된 가계 IP를 선호하는 실무적 이유
레지덴셜 프록시 사업자는 데이터 스크래핑이나 광고 검증용 클린 트래픽을 제공한다고 주장한다. 그러나 실무 현장에서는 보안 장비의 평판 조회 시스템을 통과하기 위한 공격 도구로 쓰이는 비중이 압도적이다. 클라우드 사업자(AWS, GCP 등)의 데이터센터 대역 IP는 엔터프라이즈 방화벽에서 즉시 위험 플래그가 지정되지만, 일반 통신사(Comcast, KT, SKB 등) 가계 대역 IP는 정상 고객의 접속으로 오인되기 쉽기 때문이다.
| 운영 지표 | 일반 데이터센터 프록시 (데이터센터 IP) | 탈취형 레지덴셜 프록시 (XCPE 봇넷 IP) | 인프라 운영 영향 |
|---|---|---|---|
| IP 할당 주체 | 클라우드·호스팅 업체 (AS16509, AS15169 등) | 가정용 초고속 인터넷 통신사 (ISP) | 지리적 위치 및 사용자 신뢰도 최상위 등급 |
| 방화벽(WAF) 통과율 | 10–20% 내외 (ASN 대역 일괄 차단 빈번) | 85–95% 통과 | 평판 기반 IP 블랙리스트 원천 무력화 |
| 악용 주요 워크로드 | 기본 웹 크롤링, 고대역폭 단순 디도스(DDoS) | 크리덴셜 스터핑(ATO), 광고 사기, 정밀 스크래핑 | 보안 관제 알람 임계치 회피 |
| 단가 구조(시장 평균) | $0.05–$0.20 / GB | $3.00–$8.00 / GB | 가계 IP 희소성으로 높은 암시장 마진 창출 |
| 감염 기기 생존 주기 | IP 대역 차단 시 즉시 가치 상실 | 셋톱박스 전원 오프 전까지 수개월 유지 | 지속적 백도어 업데이트로 장기 거점화 |
합법 기업의 외피를 쓴 사업자들의 움직임도 수면 위로 드러났다. 허니게인 브랜드를 보유한 지주사 소스(Source)는 글로벌 사모펀드로부터 1억 3,000만 달러 투자를 유치하며 36억 달러(약 4조 9,000억 원)의 기업가치를 인정받았다. 이스라엘 상장사 알라룸(Alarum Technologies)이 운영하던 넷넛(NetNut) 역시 셋톱박스를 노예화한 팝파(Popa) 봇넷 혐의로 2026년 7월 FBI에 도메인을 압류당했다. 벤처 자본이 유입된 프록시 인프라와 공급망 악성코드가 사실상 한 몸으로 움직이고 있던 셈이다.
엔터프라이즈 인프라 방어선 침투 경로와 계정 탈취(ATO) 파급력
XCPE와 같은 레지덴셜 봇넷의 증가는 기업 IT 인프라와 보안 운영 센터(SOC)에 직접적인 운영 부하를 초래한다. 공격자는 이렇게 확보한 수백만 개의 가정용 IP를 이용해 대규모 분산 무차별 대입(Credential Stuffing) 공격을 수행한다. 단일 IP당 시도 횟수를 시간당 1–2회로 극도로 낮추면 기존의 레이트 리밋(Rate Limiting) 규칙이나 요청 빈도 기반 방어 체계는 완전히 무력화된다.
동일 로컬 네트워크(LAN) 내 횡적 이동(Lateral Movement) 위험도 현실화됐다. 2026년 초 전 세계 네트워크를 강타했던 킴울프(Kimwolf) 봇넷 조사에 따르면, 취약한 셋톱박스 프록시 모듈을 경유해 같은 가정이나 사내 와이파이에 연결된 다른 안드로이드 장비(원격 진료 기기, 스마트 TV, POS 단말기)로 감염이 확산됐다.
엔터프라이즈 관점에서는 재택근무자의 홈 네트워크에 물려 있는 업무용 단말기나 IoT 기기가 기업 내부 VPN 및 내부망 자원으로 통하는 미확인 통로로 변질될 수 있다는 뜻이다. 기기 출하 단계부터 심어진 백도어는 엔드포인트 탐지 및 대응(EDR) 에이전트를 설치할 수 없는 비표준 IoT 디바이스에서 최장 수년간 탐지되지 않고 유지된다.
봇넷 트래픽 식별을 위한 다계층 보안 재설계
기존의 지리적 IP(GeoIP) 차단이나 알려진 블랙리스트 기반 방어는 레지덴셜 프록시 공격 앞에서 효력을 상실했다. 공급망 위협과 탈취된 주거용 IP를 전제로 한 다계층 제어 프레임워크를 수립해야 한다.
정적 IP 블랙리스트 한계를 극복하기 위한 다계층 대응 조치
통신사 정상 가입자 IP로 위장한 크리덴셜 스터핑 및 API 대량 스크래핑 통과
ASN 및 단순 요청 횟수(Rate Limit)에 의존한 인프라 접근 제어 방식의 붕괴
TLS 핸드셰이크 지문 분석, 장치 특성(Canvas/WebRTC) 교차 검증, PoW 챌린지 강제
1. 프로토콜 지문 분석 및 세션 이상 징후 교차 검증
정상 브라우저와 자동화된 공격 툴은 전송 계층 보안(TLS) 협상 과정에서 명확한 차이를 보인다. HTTP/2 또는 HTTP/3 구현체, JA4 지문, 암호화 스위트(Cipher Suite) 배열 순서를 점검하여 주거용 IP 뒤에 숨은 헤드리스 브라우저나 파이썬 스크립트를 즉각 분리해야 한다. 통신사 IP에서 발생한 로그인 트래픽이라도 클라이언트 핑거프린트가 일반 모바일 OS나 리서치팀톱 브라우저 규격과 일치하지 않으면 즉각 챌린지(CAPTCHA 또는 작업 증명 PoW)를 트리거한다.
2. 제로 트러스트 기반 재택 네트워크 및 비인가 IoT 격리
엔터프라이즈 인프라 접근 통제 정책을 수정해야 한다. 재택근무 환경에서 원격 접속을 승인할 때 기기 상태 검증(Posture Check)을 강화하고, 업무용 랩톱이 연결된 홈 네트워크의 비인가 IoT 기기(스마트 TV, 셋톱박스)와 동일 서브넷에서 통신할 수 없도록 로컬 방화벽 격리 룰을 강제해야 한다. 의료 기관이나 스마트 오피스 환경에 저가형 안드로이드 사이니지나 미디어 셋톱박스를 도입할 경우, 반드시 인터넷 직접 접속을 차단한 격리 VLAN에 배치하고 펌웨어 무결성을 전수 검사해야 한다.
3. API 엔드포인트별 트래픽 비용 구조 최적화
공격자가 레지덴셜 프록시를 사용하는 주된 이유는 계정 탈취와 비즈니스 로직 악용이다. 인증 및 결제 엔드포인트에 작업 증명(Proof-of-Work) 알고리즘을 도입하면 공격자의 장치 리소스 소모를 강제할 수 있다. 요청당 추가 연산 비용을 부과하여 공격자가 시간당 렌트하는 프록시 대역폭의 비용 대비 수익률을 급격히 떨어뜨리는 경제적 억제책이 유효하게 작동한다.