잠그지 않은 해커의 서버 한 대가 워드프레스 수천 곳의 뒷문을 통째로 보여줬다

이미지 출처: The Hacker News

보안 사고는 보통 피해자 쪽에서 먼저 티가 나는데, 이번엔 순서가 반대였음. 공격자가 자기 도구를 쌓아두던 서버의 접근 제한을 걸어두지 않은 탓에, 연구자들이 그 안을 들여다볼 수 있게 된 것임. 거기서 나온 게 WP-SHELLSTORM이라 불리는 워드프레스 대량 감염 툴킷이었고, 정황상 수천 개의 사이트가 이 도구로 뒷문(백도어)이 심긴 상태였음. 방어하는 입장에서는 오히려 좋은 기회임. 공격자가 어떤 순서로 움직이는지, 무엇을 남기는지가 그대로 드러났으니 탐지 포인트를 역으로 잡을 수 있기 때문임.

핵심 요약

• 공격자 서버가 노출되면서 WP-SHELLSTORM이라는 워드프레스 대량 백도어 도구의 동작 방식이 공개됨.
• 취약 플러그인·약한 관리자 자격증명을 발판 삼아 웹셸을 올리고, 재접속용 뒷문과 숨은 관리자 계정으로 지속성을 확보함.
• 방어는 '파일 무결성 점검 + 낯선 계정·크론·PHP 파일 색출 + 자격증명 회전'의 순서로 접근하는 것이 현실적임.

노출된 서버가 알려준 것

이런 대량 감염 캠페인은 한 사이트를 정교하게 노리기보다, 널리 퍼진 약점을 자동화로 훑는 방식임. WP-SHELLSTORM도 특정 제로데이 하나에 기대기보다 이미 알려진 취약 플러그인·테마와 추측 가능한 관리자 비밀번호를 함께 두드리는 구조로 보임. 즉 최신 패치를 미룬 사이트, 관리자 계정 비밀번호를 오래 안 바꾼 사이트가 먼저 걸려드는 것임. 노출된 서버에는 감염 대상 목록과 업로드 스크립트가 함께 있었던 것으로 전해지는데, 이건 곧 '누가 감염됐는지'가 아니라 '어떤 조건이면 감염되는지'를 우리가 미리 알 수 있다는 뜻이기도 함.

감염은 어떻게 자리를 잡나 (개념 수준)

흐름만 크게 보면 이렇게 정리됨. 실제 페이로드는 다루지 않고 단계만 짚음.

• 초기 침투: 취약한 플러그인의 파일 업로드·인증 우회 지점을 통하거나, 약한 비밀번호를 대입해 관리자 권한을 얻음.
• 웹셸 설치: 정상 파일처럼 위장한 PHP 스크립트를 업로드 폴더나 테마 디렉터리에 심어 원격 명령 통로를 확보함.
• 지속성 확보: 눈에 안 띄는 숨은 관리자 계정을 추가하거나, 예약 작업(크론)·플러그인 로더에 자기 코드를 끼워 넣어 삭제해도 되살아나게 함.
• 수익화: 스팸·악성 리다이렉트, SEO 오염, 추가 악성코드 유포 같은 목적에 감염 사이트를 재료로 씀.

핵심은 '한 번 들어오면 문을 여러 개 만들어둔다'는 점임. 그래서 웹셸 파일 하나만 지우고 끝냈다가는 며칠 뒤 똑같이 재감염되는 경우가 많음.

내 사이트가 걸렸는지 확인하는 법

거창한 도구 없이도 관리자가 직접 볼 수 있는 신호들이 있음. 아래 순서로 훑어보길 권함.

• 낯선 관리자 계정: 사용자 목록에서 내가 만든 적 없는 관리자·편집자 권한 계정이 있는지 확인함.
• 수상한 PHP 파일: 업로드(uploads) 폴더 안의 .php 파일, 최근 수정일이 갑자기 바뀐 코어·플러그인 파일을 의심함. 정상 워드프레스라면 업로드 폴더에 실행 스크립트가 있을 이유가 거의 없음.
• 파일 무결성: 공식 배포본과 코어 파일을 비교해 변조 여부를 봄. 알 수 없는 난독화 문자열이 들어간 파일은 표시해 둠.
• 서버 로그: 특정 IP에서 짧은 시간에 로그인·업로드 요청이 몰린 흔적, 관리자 URL 반복 접근 로그를 살핌.
• 예약 작업: 워드프레스 크론과 서버 크론에 낯선 작업이 등록돼 있지 않은지 점검함.

막고 되돌리는 순서

감염이 의심되면 '지우기'부터가 아니라 격리 → 파악 → 정리 → 자격증명 회전 순서가 안전함. 먼저 문제 사이트를 점검 모드로 내리거나 접근을 제한해 추가 피해와 유포를 끊음. 그다음 위에서 찾은 이상 파일·계정·크론을 목록으로 만들고, 감염 이전의 정상 백업이 있다면 그 시점으로 복원하는 것이 가장 확실함. 백업이 없다면 코어·플러그인·테마를 공식 배포본으로 전부 새로 덮고, 확인된 웹셸과 숨은 계정을 제거함.

여기서 절대 빼먹으면 안 되는 게 자격증명 회전임. 관리자 비밀번호, 데이터베이스 비밀번호, 그리고 wp-config의 보안 키(SALT)를 모두 새로 발급해야 기존에 훔쳐간 세션과 열쇠가 무력화됨. 재발 방지로는 사용하지 않는 플러그인·테마 삭제, 자동 업데이트와 최소 권한 원칙 적용, 관리자 로그인 다중 인증(MFA), 업로드 폴더의 PHP 실행 차단 정도를 기본기로 잡아두면 좋음.

개인적으로 이런 대량 캠페인 소식을 볼 때마다 느끼는 건, 결국 우리를 지켜주는 건 화려한 장비가 아니라 '패치를 미루지 않는 습관'과 '가끔 내 파일 목록을 직접 들여다보는 부지런함'이라는 점임. 오늘 당장 관리자 계정 목록과 업로드 폴더부터 한 번 열어보는 걸 추천함. 혹시 점검하다 애매한 파일을 만나면 댓글로 남겨주세요. 같이 하나씩 짚어보아요.