워드프레스 백도어, 파일·데이터베이스·공유 메모리를 이용해 삭제 후에도 스스로 재구축

Ravie Lakshmanan 2026년 10월 1일 취약점 / 웹 보안

사이버보안 연구자들이 위협 행위자들이 여러 지속성(persistence) 메커니즘을 배치해, 사이트를 다시 감염시키지 않고도 최종 페이로드가 계속 돌아오도록 만든 워드프레스(WordPress) 침해 사례를 밝혀냈습니다.

이 백도어(backdoor)는 주입된 콘텐츠에 있는 "SC_" 표식을 따 SC로 명명되었습니다. Sucuri는 이 악성코드를 블록체인으로 제어되는 "자가 치유형 메시(self-healing mesh)"라고 설명했습니다.

"페이로드는 파일, 데이터베이스, 공유 메모리에 걸쳐 최소 8곳에 동시에 존재하며, 그 각각의 위치가 나머지 모두를 재구축할 수 있습니다,"라고 보안 연구원 Gabriel Barbosa가 말했습니다.

"플러그인을 삭제하면 드롭인(drop-in)이 다시 써 넣습니다. 드롭인을 삭제하면 테마가 다시 써 넣습니다. 디스크의 모든 파일을 정리해도, 다음 페이지 로드 때 데이터베이스나 공유 메모리 세그먼트에서 전체 세트가 복원됩니다. 그 결과는 제거할 단일 지점이 없는 순환형 시스템입니다."

Sucuri에 따르면, 이 악성코드는 읽을 수 있는 함수명을 전혀 갖고 있지 않으며, 대신 치환 암호(substitution cipher)를 이용해 코드를 해독하는 디코더를 사용합니다. 8가지 구성 요소를 요약하면 다음과 같습니다 -

• .user.ini: 해당 디렉터리 트리의 모든 PHP 요청 전에 로더를 실행하도록 "auto_prepend_file"을 설정합니다.
• wp-content/c1b12371.php: 같은 위치에 숨겨진 점(dot) 접두사 파일이 존재하면 이를 포함시키는 로더입니다.
• wp-content/.c1b12371.php: 숨겨진 점 접두사 파일로, 가짜 플러그인을 찾아 플러그인 폴더의 기존 복사본, 캐시 디렉터리의 인코딩된 스텁, 무작위 16진수 이름의 ZIP 복원 번들이라는 세 가지 출처로부터 mu-plugins에 이를 재구축하는 1단계 로더 역할을 합니다.
• wp-content/db.php: 부트스트랩 과정에서 로드되며, 압축되고 Base64로 인코딩된 형태로 전체 백도어 페이로드를 담고 있습니다. 플러그인이 없거나 너무 작을 때 이를 디코딩해 재배포합니다.
• wp-content/advanced-cache.php: 캐싱이 활성화된 경우 워드프레스가 일반 플러그인보다 먼저 로드하며, 기존 mu-plugin, 기존 플러그인 복사본, PHP를 담고 있는 System V 공유 메모리 세그먼트, ZIP 번들, 데이터베이스라는 다섯 가지 독립적인 출처로부터 플러그인을 재구축합니다. 이후 plugins_loaded 훅을 걸어 이를 포함시킵니다.
• wp-content/themes/khorshidi/functions.php: db.php의 테마 상주형 쌍둥이로, 동일한 백도어를 갖고 있으며 플러그인이 없을 때마다 이를 다시 써 넣습니다.
• wp-content/mu-plugins/hyper-engine-kit.php: must-use 플러그인이자 일반 플러그인으로 설치되는 실제 악성코드입니다.
• wp-content/plugins/hyper-engine-kit/hyper-engine-kit.php: 중복성을 위한 동일한 백도어 페이로드의 복제본입니다.

백도어를 실행하는 방법과 무관하게, 이 악성코드는 관리자 플러그인 화면이나 업데이트 확인에서 자신을 숨기는 것, 이더리움(Ethereum) 블록체인을 이용해 명령제어(C2) 서버와 통신하는 것, 감염된 사이트를 핑거프린팅하고 추가 페이로드를 가져오는 것, 숨겨진 관리자 계정을 생성하는 것, 재감염 루프를 실행하는 것 등 다수의 동작을 수행합니다.

이 백도어의 기능을 통해 운영자는 워드프레스 사이트를 장악하고, 임의의 자바스크립트를 가져와 주입해 사이트 방문자를 스키머(skimmer, 결제정보 탈취 코드)나 다른 악성코드의 표적으로 삼을 수 있으며, PHP 코드를 실행하고, 특정 플러그인을 비활성화하거나 삭제할 수 있습니다.

"System V 공유 메모리를 지원하는 서버에서는, 페이로드가 고정된 숫자 키로 식별되는 세그먼트에 기록됩니다,"라고 Sucuri는 말했습니다. "이 세그먼트는 RAM에 존재하기 때문에 파일 삭제와 데이터베이스 정리 모두에서 살아남으며, 공유 호스팅 환경에서는 심지어 다른 계정이 소유할 수도 있습니다."

"이 감염은 무작위로 생성된 이름들과 알려진 fetch 훅을 포함한 크론(cron) 훅들을 등록합니다. 방문자 트래픽이 아니라 시스템 크론이 워드프레스 크론 파일을 실행하며, 이것이 일정에 따라 재배포를 촉발합니다."

이 악성코드가 어떻게 워드프레스 사이트에 전달되는지는 현재 알려져 있지 않습니다. 다만 전형적인 초기 침투 경로로는 워드프레스, 플러그인, 테마의 알려진 보안 결함, 약한 로그인 자격 증명, 인기 플러그인을 노린 소프트웨어 공급망 공격, 그리고 안전하지 않은 미디어나 폼 업로드 기능을 악용해 PHP 웹쉘을 서버 디렉터리에 심는 것 등이 있습니다.

"SC는 현대의 워드프레스 감염이 단일 파일이 아니라 하나의 시스템일 수 있다는 것을 상기시켜 줍니다,"라고 Sucuri는 말했습니다. "이 툴킷은 동일한 백도어의 복제본을 드롭인, 테마, 두 곳의 가짜 플러그인, 데이터베이스, 공유 메모리에 퍼뜨리고, 정상적인 블록체인 인프라 안에 자신의 명령 채널을 숨기며, 바로 다음 요청에서 살아남은 어떤 복사본으로부터든 스스로를 다시 써 넣습니다."

wpForo Forum 워드프레스 플러그인 결함 악용 중

이번 공개는 wpForo Forum 워드프레스 플러그인의 인증되지 않은 고위험 SQL 인젝션 결함(CVE-2026-1581, CVSS 점수: 7.5)이 실제 공격에 악용되고 있다는 사실과 함께 나왔습니다. 이 문제는 2.4.14 버전을 포함한 그 이하의 모든 플러그인 버전에 영향을 미칩니다.

Previdian의 텔레메트리 데이터에 따르면, 2026년 7월 3일 이후 이 취약점을 노린 20건 미만의 악용 시도가 관측되었습니다. 이 활동은 불가리아, 스위스, 프랑스, 미국, 예멘에 위치한 5개의 고유한 공격자 IP 주소에서 발생했습니다.