Claude Code가 저가형 안드로이드 TV 스틱에서 루트 백도어를 찾아내고, Sonnet과 Opus의 상호 검증을 통해 메인라인 리눅스를 설치함

처음 발견한 것들

• 스틱은 안드로이드 13이라고 구라를 쳤지만, 실제로는 인증 안 된 루트 ADB가 열려 있는 userdebug 안드로이드 12였음.

• Claude가 Activity Launcher로 숨겨진 개발자 옵션을 열어서 TCP 5555 포트에 루트 권한 adbd를 띄웠음.

• 그러고 나서 내 노트북 핫스팟에 외부 접속 차단 iptables 체인을 걸어놓고 eMMC 전체 백업을 떴지.

• 백업 파일에서 나온 것들:

  • a vendor remote-command system;

  • root drop scripts written on the stick's first day online;

  • an 11 MB UPX-packed Go binary with NPS reverse-tunnel code, started as root.

이걸로 결론 났음. 안드로이드 청소고 뭐고 다 필요 없고 싹 다 갈아엎기로. IOC는 저장소에 올려놨는데, 호스트 주소는 다 비활성화했고 샘플 파일은 없음.

감사 루프(Audit loop)에서 걸러낸 것들

이 부분이 다른 Claude Code 사용자들한테 진짜 도움 될 거임. Opus로 총 네 번 감사를 돌렸는데, 매번 새로운 컨텍스트에서 진행했고 결과는 다음과 같음:

• 1차 (GO-WITH-FIXES):

  • The runbook said "if ADB drops during the commit, power-cycle", which would have bricked it mid-write.

  • The U-Boot device tree borrowed from a similar board disabled the SD slot.

  • Post-flash hash checks expected values that a filesystem resize would change.

• 2차 (NO-GO, 쓰기 작업 중단):

  • The hardware tests showed U-Boot only worked 1 time in 6 when started over USB (FEL).

  • The auditor refused to sign off on flashing a bootloader that might hang with no way back.

  • It proposed zero-write diagnostics instead.

• 3차:

  • usbipd bind를 --force 없이 쓰면 윈도우 스토리지 드라이버가 디스크를 계속 잡고 있음. 그 때문에 윈도우가 파티션 테이블 헤더를 이미 한 번 날려 먹었었음.

  • "U-Boot가 부팅 명령에 도달했는지" 확인하는 테스트가 크래시 이후에 잘못된 성공 신호를 보낼 수 있었음.

• 배포 전 감사:

  • 빌드 스크립트가 공유 가능한 이미지에 개인 키를 그대로 박아버릴 뻔함.

  • README에는 검증된 백업 없이 사용자가 바로 데이터를 날려버릴 수 있는 위험이 있었음.

시리얼 콘솔 없이 디버깅하기

UART가 없어서 Claude는 LED랑 리셋 타이밍을 디버거로 썼음:

• LED를 특정 패턴으로 깜빡이게 하는 아주 작은 U-Boot 환경 오버라이드를 작성하고 리셋;

• 버튼을 누른 상태로 리셋하면 다시 FEL 모드로 진입;

• 그러니까 "16초 뒤에 다시 FEL로 돌아옴"은 U-Boot가 부팅 명령에 도달했다는 뜻이고, 세 번 깜빡이는 건 ums 시작 실패라는 뜻으로 해석함.

추가로:

• FEL 모드에서 GPIO 레지스터를 직접 찔러서 LED가 active-low로 연결된 걸 찾아냄;

• 레지스터 값을 읽어서 버튼이 Boot ROM으로 바로 연결된다는 걸 알아냈고, 덕분에 언제든 복구할 방법이 있다는 걸 확인했음.

U-Boot의 USB 대용량 저장소 기능이 콜드 부팅에서 안 먹히길래 그 방식은 버림. 대신 FEL을 통해 RAM으로 작은 리눅스를 올렸는데, 이게 한 방에 성공함. HDMI 콘솔 띄우고, Wi-Fi 스캔하고, configfs USB 가젯으로 eMMC를 PC에 노출시켰음. 그게 플래셔가 된 거지.

솔직히 말하는 사용 제한

• 5시간 제한이랑 주간 제한에 한 번씩 걸림. 서브 에이전트가 작업 중간에 죽기도 했고.

• 효과적이었던 것:

  • 새로운 에이전트를 시작하지 않고 메시지를 보내서 기존 에이전트를 계속 쓰는 거. 컨텍스트가 유지되니까.

  • 50분이나 걸리는 eMMC 쓰기 작업은 Claude가 WSL 내부에서 백그라운드(setsid nohup)로 돌리고, 연결 끊기지 않게 keep-alive랑 keep-awake를 걸어둠. 쓰기 작업은 세션 유지 여부랑 상관없게 만들었음. 결과 확인하라고 명령어 두 개도 따로 알려줬고.

• 쓰기 작업 완료 후 ALL VERIFIED. 나중에 USB로 읽어본 Boot ROM은 공개된 Allwinner 순정 ROM이랑 바이트 단위로 똑같았음. 가짜 칩셋도 아니고, 보안 부팅도 꺼져 있는 상태.

뭐가 문제였고 내가 뭘 해야 했나

• 몇몇 추측은 틀려서 데이터로 수정했어. 예를 들어, 처음엔 U-Boot 오류 원인을 usbipd 바인딩 탓으로 돌렸는데, 바인딩을 해제해도 아무 변화가 없더라고. 진짜 원인은 다른 데 있었음. 감사 담당자도 윈도우가 벤더 파티션에 뭘 썼을 거라고 추측했는데, 해시 비교 결과 그런 일은 없었던 걸로 밝혀짐.

• Git Bash → wsl.exe → sh로 넘어가는 과정에서 셸 따옴표 처리가 꼬여서 명령어가 몇 개 박살 났어. 그냥 작은 스크립트 파일로 만들어서 해결함.

• 물리적인 단계("두 번째 깜빡임 이후에 버튼을 누르세요")는 진짜 정확하게 지켜야 했고, 테스트 하나가 "실패"한 것도 알고 보니 내가 버튼을 안 눌러서 그랬던 거임.

• 공개하기 전에 저장소에서 고유 ID(SoC ID, eMMC 시리얼, MAC 주소, 내 SSH 키, 네트워크 이름 등)를 싹 다 지웠어. 그러고 나서 별도의 감사 과정을 거쳐 트리랑 전체 깃 히스토리를 다시 확인했지. 이 사진들도 IP 주소는 가렸고 메타데이터도 다 날렸어.

배운 점

• 빌더랑 감사 담당자를 분리해서 서로 다른 관점에서 검토하니까, 빌더가 확신했던 벽돌 수준의 치명적인 실수들을 잡아낼 수 있었음.

• 되돌릴 수 없는 작업을 하기 전에는 반드시 관문을 만들고 명시적인 "진행(go)" 사인을 받아야 함. 일단 읽기 전용 세션부터 시작하는 게 좋음.

• 길고 되돌릴 수 없는 작업은 세션 상태에 의존하지 않게 만들어야 함.

• 모든 건 파일로 로그를 남겨. 컨텍스트가 압축될 때, 기록이랑 보고서가 상태를 유지해 주거든.

워크플로우나 하드웨어 관련해서 궁금한 거 있으면 언제든 물어봐.

작성자가 자기가 한 말을 이해하고 있는지도 모르겠네

왜 이런 걸 올리는지 모르겠네. 노력이라곤 1도 안 보임 ㅋㅋ