WordPress용 유료 플러그인 'Admin Menu Editor Pro'의 공식 배포 서버가 해킹되어, 악성 코드가 심어진 버전이 약 230명의 고객을 통해 1,500개 이상의 사이트에 설치되었습니다. 공격자는 서버에 루트 수준으로 침투해 플러그인 업데이트에 웹 셸(원격에서 서버를 마음대로 조종할 수 있는 악성 파일)과 숨겨진 관리자 계정을 심었습니다. 개발자가 악성 버전을 제거하고 새 버전을 배포했지만, 공격자가 서버 접근권을 유지한 채 그 버전도 감염시켰습니다. 감염 여부는 특정 파일·디렉터리·데이터베이스 항목 존재 여부로 확인할 수 있으며, 2.35·2.36 버전을 설치한 사이트는 즉시 점검이 필요합니다. 가장 안전한 복구 방법은 9월 14일 이전 백업으로 사이트를 복원하는 것입니다.
WordPress 유료 플러그인 Admin Menu Editor Pro의 공식 배포 서버가 침해되어, 공격자가 버전 2.35와 2.36에 웹 셸(wp-user-consent.php)과 숨겨진 관리자 계정을 삽입한 악성 업데이트를 배포했다. 약 230명의 고객이 이를 설치해 최소 1,500개 사이트가 감염되었다.
감염된 사이트에는 원격 제어용 웹 셸과 숨겨진 wp_ 접두사 관리자 계정이 생성되어, 공격자가 사이트를 완전히 장악할 수 있는 상태가 됐다. 추가로 수백 명의 고객이 해당 시간대에 플러그인을 다운로드해 피해 규모가 더 클 수 있다.
공격자가 플러그인 개발자의 서버에 루트(root) 수준으로 침투해 배포 파일을 직접 변조했으며, 개발자가 정상 버전을 재배포한 뒤에도 서버 접근권을 유지해 새 버전까지 감염시켰다.
개발자는 악성 버전 제거 및 정상 버전 2.36 재배포 후 웹사이트를 오프라인 전환했고, 현재 침해 확인 방법 및 복구 절차가 담긴 안내 페이지를 공개했다. 버전 2.34는 정상으로 확인됐다.
Admin Menu Editor Pro 2.35 또는 2.36을 설치한 WordPress 사이트는 즉시 지정된 파일·디렉터리·DB 항목 4가지를 점검해야 하며, 감염 확인 시 9월 14일 이전 백업으로 복원하거나 플러그인·악성 디렉터리·DB 항목을 수동 삭제해야 한다.
본문
WordPress용 Admin Menu Editor Pro 플러그인의 악성 버전이 200명 이상의 고객에게 배포됐다. 위협 행위자가 플러그인 유지관리자의 웹사이트를 침해한 뒤, 숨겨진 사용자 계정을 생성하는 악성 업데이트를 배포한 것이다.
개발자 Janis Elsts에 따르면, 지난 월요일 권한 없는 외부인이 adminmenueditor.com 웹사이트에 접근해 플러그인 Pro 버전의 업데이트로 버전 2.35를 업로드했다. 해당 업데이트에는 감염된 사이트에 웹 셸(web shell)을 설치하는 includes/wp-user-consent.php 파일이 포함되어 있었다.
침입 사실을 인지한 Elsts는 악성 업데이트를 제거하고 같은 날 19:00 UTC에 정상 버전 2.36을 배포했다. 그러나 해커는 여전히 웹사이트 접근권을 유지하고 있었고, 새로 배포된 버전 역시 감염시켰다.
Admin Menu Editor Pro는 Admin Menu Editor의 유료 버전으로, 이 플러그인은 30만 개 이상의 WordPress 사이트에서 사용 중이다. 관리자가 대시보드 메뉴를 커스터마이즈하고, 다른 사용자로부터 플러그인을 숨기며, 역할별 접근 권한을 설정하고, 로그인·로그아웃 리다이렉트를 생성할 수 있도록 지원한다.
Elsts가 BleepingComputer에 밝힌 바에 따르면, 악성 버전 2.35는 공식 웹사이트에서 대략 06:00~13:00 UTC 사이에 배포되었다. 해당 버전에 포함된 악성 PHP 코드는 숨겨진 사용자 계정도 생성했다.
개발자에 따르면 최소 230명의 고객이 악성 업데이트를 1,500개 사이트에 설치했다. 다만 Elsts는 트로이목마가 심어진 버전 2.36을 실행 중인 고객 수를 파악하기 어렵기 때문에 실제 피해 규모는 더 클 수 있다고 경고했다.
"업데이트 서버 로그 분석에 따르면 초기 공격에서 약 230명의 고객이 피해를 입었습니다. 악성 버전은 최소 1,500개의 사이트에 설치되었습니다(고객 한 명이 여러 사이트를 운영하는 경우가 많습니다)," Elsts가 BleepingComputer에 전했다.
"수백 명의 추가 고객이 해당 시간대 또는 그 전후에 플러그인을 다운로드했으며, 이들도 피해를 입었을 가능성이 있습니다"라고 개발자는 덧붙였다.
조사 결과 공격자가 루트(root) 수준의 서버 접근권을 확보했을 가능성이 높은 것으로 나타나, Elsts는 웹사이트를 안전하게 복구할 수 있다는 확신이 생길 때까지 사이트를 오프라인으로 전환하기로 결정했다.
현재 Elsts는 사고 경위, 피해 여부 확인 방법, 감염된 사이트 복구를 위한 권고 사항을 담은 정적 안내 페이지를 공개한 상태다.
Admin Menu Editor Pro 버전 2.35 또는 2.36을 설치한 사용자는 다음과 같은 침해 징후를 확인해야 한다:
admin-menu-editor-pro디렉터리 내includes/wp-user-consent.php파일- 새로 생성된
/wp-content/object-cache/디렉터리 wp_users테이블에서wp_로 시작하는 사용자 계정(WordPress 대시보드에서 숨겨져 있을 수 있음)wp_options테이블에서wp_ocache*형식의 옵션 항목
버전 2.34는 정상으로 확인됐으며, Admin Menu Editor 무료 버전은 영향을 받지 않는 것으로 보인다.
Elsts는 가장 확실한 복구 방법은 9월 14일 이전의 안전한 백업으로 사이트를 복원하는 것이라고 밝혔다. 백업 복원이 불가능한 경우에는 플러그인, /wp-content/object-cache/ 디렉터리, 그리고 위에 언급된 데이터베이스 항목을 삭제할 것을 권고했다.
Admin Menu Editor WordPress 플러그인 개발자는 이번 사고가 자사 인프라에 한정된 것이라고 밝히며 피해를 입은 고객들에게 사과했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
