워드프레스 사이트를 안전하게 운영하려면 워드프레스, 테마, 플러그인을 항상 최신 버전으로 업데이트하고 보안 문제가 있는 테마나 플러그인을 사용하지 않아야 합니다. 업데이트를 소홀히 할 경우 사이트가 해킹되거나 멀웨어(악성코드)에 감염되어 낭패를 볼 수 있습니다.
보안 전문업체인 Sucuri에서 지난달 "Hidden WordPress Backdoors Creating Admin Accounts"라는 게시글을 통해 관리자 계정을 생성하는 숨겨진 워드프레스 백도어에 대하여 자세한 정보를 제공했습니다.
워드프레스 관리자 계정 해킹 및 백도어 주의
해킹되거나 멀웨어에 감염되는 대부분의 사이트는 업데이트를 소홀히 하거나 보안 취약점이 있는 플러그인을 사용하거나, 혹은 쉽게 추측할 수 있는 관리자 계정과 비밀번호를 사용하는 경향이 있습니다. (관리자 비밀번호를 '1'로 설정한 사이트를 본 적도 있습니다.😄)
사이트를 최신 상태로 유지하고 강력한 패스워드를 설정하고, Wordfence와 같은 보안 플러그인을 사용하면 사이트를 안전하게 운영할 수 있습니다.
Wordfence는 강력한 보안 기능을 제공하지만 사이트 속도에 영향을 미칠 수 있습니다. 클라우드웨이즈(Cloudways)를 이용하는 경우 서버 레벨에서 강력한 방화벽을 제공하므로 보안 플러그인을 별도로 설치할 필요는 없지만, 보안이 염려된다면 설치하면 조금 더 안심할 수 있을 것입니다.
최근 다양한 해킹 사고에서 공격자는 권한 탈취와 지속적인 접근 권한 유지를 목표로 악성 파일을 심어두고 있으며, 이런 백도어는 숨겨진 어드민 계정으로 사이트를 장악할 수 있습니다.
백도어의 작동 방식
Sucuri에서 분석한 백도어의 작동 방식:
- 공격자는 워드프레스 핵심 파일이나 플러그인 디렉토리에 정상 파일로 위장한 악성 파일을 업로드합니다.
- 예시: wp-content/plugins/DebugMaster/DebugMaster.php, wp-user.php
- 악성 PHP 코드는 하드코딩된 계정(예: ID: help)으로 관리자 계정을 자동 생성 및 복원합니다.
- 삭제해도 일정 조건에서 자동으로 재생성되어 영구적으로 악성 계정이 유지됩니다.
[이상 징후]
- 출처를 알 수 없는 관리자 계정 생성 또는 지속적 재등장
- 디버그, 백업 등 정상 플러그인으로 위장한 정체불명의 파일 존재
[의심 파일]
- /wp-content/plugins/DebugMaster/DebugMaster.php
- /wp-user.php
이러한 악성코드는 언뜻 보면 정상적인 파일 이름처럼 가장합니다. 기존의 멀웨어는 이상한 이름의 파일들을 생성했지만, DebugMaster와 같은 이름은 디버그 기능을 하는 플러그인이라는 인상을 줍니다.
wp-user.php 파일은 워드프레스 루트 디렉터리에 있는 정상적인 파일 이름 같지만, 이런 파일은 존재하지 않습니다. 멀웨어에 감염되면 루트 디렉터리에 about.php와 같은 파일이 생성되는 경우가 종종 있습니다.
워드프레스 사이트의 루트 디렉터리에는 wp-user.php나 about.php와 같은 파일이 없습니다. 만약 이상한 이름의 파일이 존재한다면 사이트 해킹이나 멀웨어 감염을 의심해야 합니다.
[의도]
- 외부 C2 서버*와 정보(계정, 비밀번호, IP 등) 교신
- 관리자 IP 기록, 의심스러운 스크립트 삽입 및 방문자 추적
* C2(Command & Control) 서버는 공격자가 감염된 시스템과 은밀히 통신하며 명령을 내리고 데이터를 탈취하거나 추가 악성 행위를 제어하기 위해 사용하는 원격 제어 서버를 의미합니다.
감염 시 대응 및 복구 방법
- 악성 파일 제거 : 상기의 파일 2개 및 관련 백도어 파일들을 완벽히 삭제해야 합니다. → 감염 파일들을 완벽히 삭제하지 않으면 재발될 가능성이 높습니다.
- 관리자 계정 점검 : help 등 이상 계정이 있는지 확인하여 있다면 반드시 삭제해야 합니다. 필요한 경우 모든 관리자 계정 비밀번호를 변경하는 것이 안전합니다. → 관리자 계정은 1개만 남겨두고 삭제하는 것이 바람직하며, admin이나 사이트 도메인 이름 등 쉽게 추정할 수 있는 단어를 관리자 이름으로 사용해서는 안 됩니다.
- 패스워드 초기화 : 워드프레스, 호스팅, FTP, DB 등 모든 관련 계정의 비밀번호를 재설정해야 합니다.
- 워드프레스 및 플러그인, 테마 최신 업데이트 적용
- 서버 외부 통신 및 로그 모니터링 : 불명확한 외부 도메인 계정 접근 등 체크
- 주기적 보안 스캔 및 접근제어 정책 강화 권장
다음과 같은 조치가 보안 강화에 도움이 될 것입니다.
- 불필요한 관리자 계정 및 플러그인을 정기적으로 점검하여 삭제
- 신뢰할 수 있는 경로를 통해서만 테마/플러그인을 설치합니다.
- 웹 방화벽(WAF) 적용 및 접근 권한 설정 강화
- 자동화된 백업 및 침해사고 탐지 시스템 도입 고려
멀웨어 감염되는 경우 사용자 페이지에 이상한 사용자가 있을 수 있습니다. 정기적으로 체크하여 생성한 적이 없는 이상한 관리자 계정이 생성되어 있다면 사이트 해킹이나 악성코드 감염이 되었을 가능성이 높으므로 시스템을 전체적으로 체크하여 악성코드 제거 조치를 시행해야 합니다.
일부 웹호스팅에서는 자동 백업/복원 기능을 제공합니다. 카페24의 경우 지난 7일간 데이터 백업/복원 기능을 제공하며, 케미클라우드(ChemiCloud)의 경우 워드프레스 호스팅 상품에 따라 10일 ~ 30일 기간의 백업본이 유지됩니다. 클라우드웨이즈는 백업 설정에 따라 최대 4주 이내의 기간으로 복원이 가능합니다.
마치며
워드프레스는 보안에 강하지만 업데이트를 소홀히 하거나 보안 관행을 준수하지 않으면 사이트가 해킹 당하거나 멀웨어에 감염되는 등 보안 사고가 발생할 수 있습니다.
만약의 사태에 대비하여 정기적으로 백업하여 PC에 보관하는 것이 큰 도움이 될 수 있습니다. 백업본이 있다면 빠르게 복구가 가능합니다. 복구한 후에 보안 조치(예: 최신 버전으로 시스템 업데이트)하여 보안을 강화할 수 있습니다.
저는 오랜 기간 악성코드에 감염된 다양한 사이트를 접했고 많은 사이트에서 악성코드를 제거하는 작업을 수행했습니다. 악성코드에 감염되는 사이트의 대부분은 사이트를 최신 버전으로 업데이트하지 않았다는 공통점이 있습니다. 항상 최신 버전으로 업데이트하고 불필요한 플러그인은 가급적 설치하지 말고 꼭 필요한 필수 플러그인만 설치하여 사용하면 도움이 됩니다.
👉 멀웨어 감염을 비롯하여 워드프레스 또는 웹호스팅 관련 문제 해결에 어려움을 겪는 경우 여기에서 서비스(유료)를 의뢰하실 수 있습니다.
정말 중요한 포인트를 잘 알려주셔서 공감해요. 저도 업데이트를 놓치지 않으려 매일 신경 쓰게 되네요.