보안 회사 Sucuri 의 보고서에 따르면 SC라는 이름의 워드프레스 악성코드 변종이 발견되었습니다. 이 악성코드는 일반적인 트로이목마와는 달리, 일반적인 제거 작업을 무력화하고 감염 흔적이 제거된 후에도 다시 활동을 재개 하도록 설계되었습니다 . SC는 중복된 복사본과 이더리움 공개 서비스를 이용하여 통신 채널을 유지합니다.
이번 사례는 개인 블로그부터 온라인 쇼핑몰까지 워드프레스 웹사이트를 운영하는 사람들에게 특히 중요한 의미를 갖습니다. 스페인을 비롯한 유럽 전역에서 많은 프로젝트가 이 콘텐츠 관리 시스템을 사용하고 있기 때문에, 지속적인 감염은 관리자뿐 아니라 방문자에게도 영향을 미칠 수 있습니다. Sucuri가 공개하고 전문 언론 매체들이 보도한 세부 정보에 따르면, 이 문제는 단순히 의심스러운 파일 하나를 삭제하는 것만으로는 해결되지 않는 심각한 문제입니다.
SC 멀웨어란 무엇이며, 제거하기가 왜 그렇게 어려운가요?
SC는 자가 복구 시스템 처럼 작동합니다 . 악성 페이로드는 플러그인, 테마, 데이터베이스, 심지어 워드프레스 호환 서버에도 나타날 수 있습니다. Sucuri는 이 페이로드를 최소 8곳 에서 동시에 탐지했다고 주장하며, 이는 단일 장애 지점을 찾아 제거할 수 있다는 가설을 반박하는 결과입니다.
실질적인 결과는 심각합니다. 관리자가 악성코드 사본 하나를 삭제하고 다른 사본이 작동할 수 있는 충분한 용량을 남겨두면 악성코드가 스스로 재구성되어 다시 활동을 재개할 수 있습니다. 이러한 배포 방식은 손상된 파일을 찾거나 핵심 연결을 차단하는 기존 방식이 효과적이지 못한 이유를 설명해 줍니다.
게다가 SC는 단순히 숨는 데 그치지 않습니다. 보안 도구를 비활성화 하고 WordPress 내에서 관리자 권한을 유지 하는 기능도 갖추고 있습니다 . 이는 변경 사항 감지를 어렵게 하고, 담당자가 사이트를 복구했다고 생각한 후에도 공격자가 오랫동안 제어권을 유지할 수 있도록 합니다.
이더리움을 명령 인프라로 활용하기
이 보고서에서 가장 눈에 띄는 부분은 명령 및 제어를 위해 이더리움의 공개 RPC 게이트웨이를 사용한다는 점입니다. SC는 약 20개의 RPC 제공업체 목록을 포함하고 있는데, 이는 애플리케이션, 지갑 및 기타 소프트웨어가 블록체인 네트워크와 상호 작용할 수 있도록 하는 합법적인 서비스입니다.
공격자들은 이더리움 네트워크를 침해하거나 프로토콜을 손상시키지 않았다고 설명되어 있습니다. 대신, 공개적으로 이용 가능한 인프라를 악용하여 악성코드에 명령어를 전달합니다. 게이트웨이 하나가 다운되거나 응답하지 않게 되면, SC는 목록에 있는 다른 게이트웨이를 시도할 수 있습니다.
이러한 중복성은 단일 차단의 영향을 줄여줍니다. 프로그램이 여러 대체 경로를 가지고 있기 때문에 방어는 특정 주소 차단에만 의존해서는 안 됩니다 . 내부 복제본과 외부 연결의 조합이 이 변종을 특히 지속적인 위협으로 만드는 요인입니다.
세션 도용, 주사 및 결제 위험
또 다른 중요한 기능은 관리자 세션 토큰 수집입니다 . 공격자는 이를 통해 보이는 콘텐츠를 수정하는 데 제한받지 않고 관리자 권한을 유지하거나 획득할 수 있습니다. 이는 계정 내부 깊숙이 변경을 가할 수 있게 하여 탈취된 계정에 대한 제어권을 되찾기 어렵게 만듭니다.
SC는 웹사이트의 공개된 부분에 자바스크립트를 삽입 할 수도 있습니다 . 온라인 쇼핑몰의 경우, 이 코드는 결제 과정 중에 실행되어 카드 또는 결제 게이트웨이 데이터를 수집하는 데 사용될 수 있습니다. 현재까지 공개된 정보에는 영향을 받은 웹사이트 또는 거래 건수가 구체적으로 명시되어 있지 않습니다.
악성 프로그램은 실행에 앞서 URL 및 호스트 이름, WordPress 버전, 설치된 플러그인 버전 등 대상 시스템의 구성을 파악하는 데 도움이 되는 기술 정보를 수집합니다 . 공격자가 대상 환경에 대해 더 많이 알수록 다음 공격을 계획하기가 더 쉬워집니다.
이는 스페인과 유럽의 웹사이트에 어떤 의미를 가질까요?
보고서에는 국가별 통계가 나와 있지 않지만, 스페인이나 유럽에 설치된 워드프레스 시스템 중 오래된 플러그인을 사용하거나 권한 설정이 취약한 경우 공격 대상이 될 수 있습니다. 이러한 공격은 국경을 초월하여 발생하기 때문에 지리적 위치만으로는 공격의 장벽이 될 수 없습니다.
웹사이트 관리자는 백업 , 로그 및 수정된 파일을 검토해야 하지만, 부분적인 정리만으로는 충분하지 않을 수 있다는 점에 유의해야 합니다. 또한 활성 세션, 관리자 사용자, 템플릿 또는 확장 프로그램의 비정상적인 코드도 확인하는 것이 좋습니다.
전자상거래에서 결제 관련 위험은 더욱 큰 압박을 가합니다. 악성 소프트웨어가 접근 권한을 유지하고 스크립트를 삽입할 수 있다면 사용자 신뢰가 무너집니다. 이는 단순히 웹사이트를 복구하는 것뿐만 아니라 고객 데이터가 악의적인 사람들의 손에 넘어가는 것을 막는 것을 의미합니다.
Sucuri의 경고는 한 가지를 분명히 합니다. SC는 단 한 번의 정리 작업으로 해결할 수 있는 문제가 아닙니다. 여러 구성 요소에 걸쳐 복제 되는 능력 , 이더리움 RPC 게이트웨이 사용, 세션 탈취 또는 코드 삽입 기능 때문에 SC를 완전히 제거하는 것은 매우 어렵습니다. 관리자는 WordPress 환경 전체를 철저히 검토하고, 업데이트를 최신 상태로 유지하며, 이러한 유형의 감염에는 단순히 파일 하나를 삭제하는 것 이상의 광범위한 대응이 필요하다는 점을 이해하는 것이 최우선 과제입니다.
