새로운 Linux 악성코드, WordPress 사이트의 30개 이상 플러그인 백도어 악용

최근 등장한 새로운 Linux 악성코드가 웹마스터와 웹사이트 관리자들 사이에서 경각심을 불러일으키고 있습니다. 이 정체불명의 악성 코드는 30개가 넘는 플러그인을 악용해 WordPress 사이트에 백도어로 접근합니다. 사이버 보안 전문가들에 따르면, 해커들은 이 취약점을 데이터 탈취 및 조작부터 분산 서비스 거부(DDoS) 공격에 이르기까지 다양한 악성 행위에 악용할 수 있다고 합니다.

이 악성코드는 대부분의 안티멀웨어 솔루션을 우회할 수 있는 정교한 회피 기능을 갖추고 있습니다. 주로 취약한 플러그인을 사용 중이거나 최신 패치를 적용하지 않은 WordPress 웹사이트를 표적으로 삼습니다. 이 정체불명의 취약점은 인증 페이지가 노출된 설정 오류 WordPress 사이트를 스캔한 뒤 무차별 대입(brute-force) 공격을 감행해 시스템에 침투하기도 합니다. 일단 내부에 침투하면 원격 공격자가 언제든 악용할 수 있는 백도어를 설치합니다.

공격 대상이 되는 플러그인 및 테마는 다음과 같습니다:

• WP Live Chat Support Plugin
• WP GDPR Compliance Plugin
• WordPress – Yuzo Related Posts
• Yellow Pencil Visual Theme Customizer Plugin
• Hybrid
• Easysmtp
• WP GDPR Compliance Plugin
• Newspaper Theme on WordPress Access Control (CVE-2016-10972)
• Thim Core
• Faceboor Live Chat by Zotabox
• Google Code Inserter
• Total Donations Plugin
• Post Custom Templates Lite
• WP Quick Booking Manager
• Coming Soon Page and Maintenance Mode
• Faceboor Live Chat by Zotabox
• Blog Designer WordPress Plugin
• WordPress Ultimate FAQ (CVE-2019-17232 and CVE-2019-17233)
• WP-Matomo Integration (WP-Piwik)
• WordPress ND Shortcodes For Visual Composer
• WP Live Chat
• Coming Soon Page and Maintenance Mode

공격 대상 웹사이트가 위 플러그인 중 하나라도 오래되고 취약한 버전을 실행 중이라면, 악성코드는 자동으로 명령 및 제어(C2) 서버에서 악성 JavaScript를 가져와 해당 웹사이트에 스크립트를 삽입합니다.

감염된 페이지는 공격자가 지정한 위치로 사용자를 리디렉션하는 역할을 하므로, 이 수법은 방치된 사이트에서 가장 효과적으로 작동합니다.

이러한 리디렉션은 피싱, 악성코드 유포, 악성 광고(malvertising) 캠페인에 활용되어 탐지와 차단을 회피하는 데 도움을 줄 수 있습니다. 즉, 이 자동 삽입 도구의 운영자들이 다른 사이버 범죄자들에게 서비스를 판매하고 있을 가능성도 있습니다.

업데이트된 버전의 페이로드는 다음 WordPress 애드온도 표적으로 삼습니다:

• Brizy WordPress Plugin
• FV Flowplayer Video Player
• WooCommerce
• WordPress Coming Soon Page
• WordPress theme OneTone
• Simple Fields WordPress Plugin
• FV Flowplayer Video Player
• WordPress Delucks SEO plugin
• Poll, Survey, Form & Quiz Maker by OpinionStage
• Social Metrics Tracker
• Rich Reviews plugin
• WPeMatico RSS Feed Fetcher
• Rich Reviews plugin

이 위협에 맞서려면 WordPress 웹사이트 관리자는 사이트에서 실행 중인 테마와 플러그인을 최신 버전으로 업데이트하고, 더 이상 개발되지 않는 항목은 지원되는 대체 제품으로 교체해야 합니다.

강력한 비밀번호를 사용하고 2단계 인증(two-factor authentication)을 활성화하면 무차별 대입 공격으로부터 안전하게 보호받을 수 있습니다.