워드프레스 플러그인 스크립트가 몰래 바뀌었다? 사이트에 심긴 보이지 않는 백도어 추적기

이미지 출처: The Hacker News

잘 돌아가던 워드프레스 사이트가, 아무것도 안 건드렸는데 어느 날부터 이상한 트래픽을 뿜어내기 시작한다면 어떨까? 또 터졌다. 이번엔 우리가 무심코 깔아둔 인기 플러그인의 스크립트 파일 자체가 누군가의 손에 변조돼 사이트마다 조용히 백도어를 심고 다닌 사건임. 내 코드도, 내 비밀번호도 아닌 '믿고 쓰던 플러그인'이 문을 열어줬다는 게 이번 이야기의 무서운 지점인 것 같다.

핵심 요약

• 널리 쓰이는 워드프레스 플러그인의 자바스크립트·PHP 스크립트가 변조돼, 업데이트나 배포 과정에서 사이트에 숨은 백도어가 심김.
• 공격은 화면에 티가 안 나고, 변조된 파일이 외부 도메인과 통신하거나 관리자 권한을 몰래 만들어두는 식으로 동작함.
• 방어 핵심은 파일 무결성 모니터링, 최소 권한, 그리고 '플러그인도 공급망'이라는 관점으로 출처를 검증하는 습관임.

대체 뭐가 어떻게 변조된 걸까?

이런 사건의 구조는 거의 비슷함. 공격자가 직접 우리 사이트를 뚫는 게 아니라, 수많은 사이트가 공통으로 의존하는 한 지점을 노림. 그 지점이 이번엔 인기 플러그인이 불러오는 스크립트였던 거죠. 정리하면 이렇다.

• 상류(上流) 오염: 플러그인이 배포되는 경로나 외부에서 끌어오는 스크립트가 손을 탐. 개발자 계정 탈취, 배포 서버 침해, 외부 CDN 변조 같은 방식이 흔함.
• 정상 코드에 끼워넣기: 멀쩡해 보이는 함수 사이에 난독화된 한두 줄이 추가됨. 보통은 base64나 hex로 가려 두어 눈으로 훑으면 잘 안 보임.
• 백도어 설치: 그 한두 줄이 결국 외부 도메인으로 요청을 보내거나, 숨은 관리자 계정을 만들거나, 업로드 디렉터리에 웹쉘 비슷한 파일을 떨궈둠.

무서운 건 사용자 화면에선 아무 변화가 없다는 점임. 사이트는 그대로 잘 보이고, 관리자도 평소처럼 글을 쓴다. 그동안 뒤에서 문은 이미 열려 있던 거죠.

그래서 어떻게 탐지할까?

개인적으로는 '공격 재현'보다 '내 사이트가 지금 멀쩡한지'를 먼저 보는 걸 추천함. 코드를 깊이 몰라도 점검할 수 있는 신호들이 꽤 있다.

• 파일 무결성 확인: 플러그인을 공식 저장소의 원본과 해시로 비교해봄. 같은 버전인데 파일 해시가 다르면 그 자체가 빨간불임. 워드프레스 보안 플러그인의 'core/plugin 무결성 검사' 기능이 이걸 자동으로 해줌.
• 나가는 트래픽 점검: 사이트가 알 수 없는 외부 도메인으로 주기적으로 요청을 보내는지 봄. 변조된 스크립트는 결국 어딘가와 '통신'해야 하므로 여기서 꼬리가 잡힘.
• 수상한 관리자 계정: 내가 만든 적 없는 관리자 권한 사용자, 최근에 갑자기 생긴 계정이 없는지 사용자 목록을 직접 훑어봄.
• 난독화 흔적 검색: 플러그인 디렉터리에서 eval, base64_decode, gzinflate 같은 패턴이 갑자기 늘었는지 확인. 정상 코드에도 쓰이긴 하지만, 최근 수정 시각과 겹치면 더 의심할 만함.
• 파일 수정 시각: 내가 업데이트한 적 없는데 최근에 수정 시각이 바뀐 파일들이 있는지 본다. 변조는 보통 흔적을 남기게 마련임.

완화와 예방, 결국은 '공급망 위생'

이번 사건이 알려주는 교훈은 단순함. 플러그인도 결국 남이 만든 코드를 내 서버에서 실행하는 공급망이라는 사실이다. 그러면 방어도 공급망 관점으로 가야 맞다.

• 최소 권한 원칙: 웹 서버 계정이 플러그인 디렉터리에 함부로 쓰지 못하게 파일 권한을 조여둠. 백도어가 파일을 떨구려 해도 쓸 곳이 없으면 절반은 막힘.
• 믿을 수 있는 출처만: 공식 저장소나 정식 벤더에서만 받고, 출처가 불분명한 '무료 프리미엄 플러그인(널드 버전)'은 아예 안 쓰는 게 안전함. 이런 변조 통로가 바로 거기인 경우가 많다.
• 업데이트 전 백업: 자동 업데이트가 편하긴 한데, 중요한 사이트라면 변경 전 스냅샷을 남겨두면 사고 시 되돌리기가 훨씬 수월함.
• WAF와 모니터링 병행: 웹 방화벽으로 알려진 악성 패턴을 거르고, 파일 변경 알림을 켜두면 '바뀌었다'는 사실 자체를 빠르게 알 수 있다.
• 안 쓰는 플러그인은 삭제: 비활성화만 해두면 파일은 그대로 남아 공격 표면이 됨. 안 쓰면 과감히 지우는 게 낫다.

솔직히 이런 공급망 변조는 운영자가 아무리 조심해도 100% 막기 어려운 영역이 있다. 그래서 더더욱 '뚫린 뒤에 빨리 알아채는 능력', 즉 무결성 감시와 로그 점검이 중요한 것 같음. 오늘 당장 내 사이트 플러그인 목록부터 한 번 쭉 훑어보는 건 어떨까? 의심스러운 파일이나 이상한 계정을 발견했다면 댓글로 같이 이야기 나눠봐요. 작은 점검 습관 하나가 다음 사고를 막아준답니다.