정품으로 받은 워드프레스 플러그인은 안전할까 — ShapedPlugin 프로 제품 변조 사건

이미지 출처: The Hacker News

워드프레스 관리자 화면에 빨간 점이 뜨면 우리는 거의 반사적으로 '업데이트' 버튼을 누름. 공식 배포처가 보내준 정품이니 의심할 이유가 없다고 믿기 때문임. 그런데 ShapedPlugin이 만든 프로(Pro) 플러그인들이 배포 과정에서 변조돼, 정상 업데이트로 위장한 채 백도어가 사이트에 흘러든 정황이 보고됐음. 공격자가 비밀번호를 뚫은 것도, 취약점을 찌른 것도 아니었음. 우리가 신뢰하던 '공급 경로' 그 자체가 무기가 된 사건임.

핵심 요약

• ShapedPlugin의 유료 플러그인이 배포 단계에서 악성코드가 삽입돼 정상 업데이트로 위장 유포됨
• 관리자가 '정품을 받았다'고 믿는 순간 백도어가 같이 설치되는 전형적 소프트웨어 공급망 공격임
• 방어의 핵심은 플러그인 무결성 검증·이상 행위 탐지·최소권한이며, 단순 '최신 유지'만으로는 막을 수 없음

왜 이 공격이 무서운가

일반적인 워드프레스 침해는 약한 비밀번호나 알려진 취약점을 노림. 그래서 패치하고 비번 강화하면 어느 정도 막힘. 하지만 공급망 변조는 결이 다름. 변조된 코드가 '신뢰받는 출처'의 서명을 달고 들어오기 때문에, 보안 의식이 높아 꼬박꼬박 업데이트하는 관리자일수록 오히려 더 빨리 감염되는 역설이 생김. 백신이나 워드프레스 코어 입장에서도 "정상 플러그인이 정상 업데이트를 받은 것"으로 보이니 경보가 잘 울리지 않음.

삽입되는 백도어는 보통 다음과 같은 일을 하려 함(개념 수준으로만 정리). 외부 명령 서버와 통신해 추가 코드를 받아오거나, 관리자 계정을 몰래 하나 더 만들거나, 사이트 방문자에게 스팸·악성 리다이렉트를 뿌리거나, 결제·로그인 폼에 끼어들어 정보를 가로채는 식임. 한 번 자리 잡으면 플러그인을 지워도 별도 파일이나 DB에 남은 흔적으로 되살아나는 경우가 많음.

내 사이트가 당했는지 어떻게 확인하나

먼저 차분히 점검 포인트부터 잡는 게 중요함. 다음 항목을 순서대로 보면 됨.

• 관리자 계정 목록 점검: 내가 만들지 않은 admin 권한 계정, 최근에 생성된 사용자, 이상한 이메일 도메인이 있는지 확인함.
• 파일 무결성 비교: 깨끗한 원본 플러그인과 현재 설치본을 해시로 대조함. 특히 난독화된 PHP, base64/eval 류 호출, 끝부분에 덧붙은 정체불명 코드 블록을 의심함.
• 아웃바운드 트래픽 관찰: 서버가 평소 연결할 일 없는 외부 IP·도메인으로 주기적으로 나가는 통신이 있는지 봄. C2 통신은 정작 '수상한 인바운드'가 아니라 조용한 아웃바운드로 드러나는 경우가 많음.
• 예약 작업과 DB: wp-cron 등록 항목, options 테이블에 숨겨진 인코딩된 값, 새로 생긴 .php 파일의 생성 시각을 교차 확인함.

방어자 관점의 완화책

이번 사건이 주는 교훈은 "업데이트=안전"이라는 등식을 깨라는 것임. 개인적으로는 다음을 기본기로 추천함.

• 무결성 모니터링 도입: 파일 변경 감지(FIM)나 워드프레스용 보안 플러그인으로 코어·플러그인 파일의 무단 변경을 알림받게 설정함.
• 스테이징에서 먼저 적용: 업데이트를 운영 서버에 바로 밀지 말고, 복제 환경에서 동작·트래픽을 며칠 지켜본 뒤 반영하는 습관을 들임.
• 최소권한과 격리: 웹서버 프로세스의 쓰기 권한을 좁히고, DB 계정 권한도 필요한 만큼만 줌. 백도어가 들어와도 손발을 묶어두는 효과가 있음.
• 공급처 신호 추적: 사용하는 플러그인 벤더의 보안 공지·변경 이력을 구독해 두고, 갑작스러운 소유권 변경이나 의심 정황이 뜨면 즉시 점검에 들어감.
• 백업과 복구 리허설: 감염이 확인되면 패치보다 '깨끗한 시점으로의 복원'이 빠르고 안전할 때가 많음. 백업이 실제로 복구되는지 평소에 한 번씩 시험해 둠.

결국 공급망 공격은 "내가 못 믿을 게 하나 더 늘었다"는 불편한 사실을 들이밈. 그렇다고 모든 업데이트를 끊을 수도 없으니, 신뢰하되 검증하는(verify) 쪽으로 무게추를 옮기는 수밖에 없음. 이번 ShapedPlugin 건을 핑계 삼아 자기 사이트의 무결성 점검 루틴을 한 번 만들어 두면, 다음에 비슷한 일이 터졌을 때 훨씬 덜 떨게 됨. 혹시 위 점검 항목을 돌려보다 이상한 걸 발견했다면 댓글로 같이 들여다봐요. 차차 같이 단단하게 만들어 봅시다.