해킹된 워드프레스 사이트에서 발견된 가짜 플러그인
Astra 보안 엔지니어들은 해킹당한 웹사이트에서 종종 가짜 플러그인을 발견합니다. 최근 진행한 악성코드 제거 작업 중에도 원본 Super Socializer 플러그인을 사칭한 가짜 플러그인이 설치된 워드프레스 사이트가 있었습니다. 이 가짜 플러그인은 웹사이트에 가짜 광고와 악성 광고를 표시하도록 만들었습니다. 플러그인 이름은 "Super Socialat"으로, 원본 이름인 Super Socializer를 살짝 비틀어 지은 것임을 누구나 알 수 있을 정도였습니다.
곧 가짜 플러그인 "Super Socialat"의 세부 정보(파일 위치, 코드 등)를 자세히 살펴보겠습니다. 그 전에 먼저 원본 플러그인인 Super Socializer에 대해 간단히 짚고 넘어가겠습니다. Super Socializer는 웹사이트에 손쉬운 소셜 로그인과 소셜 공유 기능을 제공하는 플러그인으로, 글 작성 시점 기준 60,000개 이상의 활성 설치 수를 기록하고 있는 인기 플러그인입니다.
기술적 세부 사항: 가짜 Super Socializer 플러그인
이제 본격적으로 세부 내용을 살펴보겠습니다. Super Socialat 플러그인은 워드프레스 관리자 화면의 플러그인 목록에서 아래와 같이 나타납니다.
플러그인 내부에 포함된 파일 목록은 다음과 같습니다.
보안 연구원들의 분석 결과, 이 가짜 플러그인은 wp-content/plugins/super-socialat/super_socialat.php 경로에 교묘하게 숨겨져 있었습니다.
코드를 면밀히 검토한 결과, 다음과 같은 악성 코드가 웹사이트에 삽입되어 있는 것이 확인되었습니다.
어떻게 대처해야 할까요?
여러분의 사이트에서도 가짜 광고나 ICO 파일이 발견된다면 아래 방법들을 순서대로 따라 해보세요.
1. 플러그인 목록 점검
먼저 설치된 플러그인을 직접 확인하세요. "Super Socialat"이라는 이름의 플러그인이 설치되어 있지 않은지 반드시 점검해야 합니다. 해당 플러그인을 발견했다면 지체 없이 즉시 삭제하세요.
2. 가짜 사용자 계정 확인
이러한 침해 사건에서 해커가 가짜 계정을 대량 생성하는 경우도 많이 관찰되었습니다. 해커는 해킹한 사이트에 대한 접근 권한을 오래 유지하려는 목적으로 여러 방법을 동원하는데, 가짜 사용자 계정 생성이 대표적인 예입니다.
해킹 여부를 확인하려면 웹사이트의 사용자 계정을 꼼꼼히 검토하세요. 데이터베이스의 wp_users 테이블을 확인하면 가짜 계정을 식별하고 삭제하는 데 큰 도움이 됩니다.
특히 강조하고 싶은 점은, 단순히 가짜 플러그인만 삭제해서는 근본적인 해결책이 되지 않는다는 것입니다. 해커가 이 플러그인을 삽입할 수 있었던 배경에는 분명한 취약점이 존재합니다. 따라서 워드프레스 전체에 대한 철저한 악성코드 제거 작업이 반드시 필요합니다.
단계별로 정리된 워드프레스 악성코드 제거 가이드도 함께 참고하시길 권장합니다.
꼼꼼한 주의가 안전의 열쇠입니다
모든 워드프레스 사용자는 플러그인 설치 전 반드시 두 번 확인하는 습관을 들여야 합니다. 만약 웹사이트가 평소와 다르게 동작한다면 바로 악성코드 제거 요청을 하세요. 보안 전문가들이 단 4~6시간 만에 감염을 완전히 정리해 드립니다.
감염 여부가 확실하지 않다면 온라인 무료 진단 서비스를 통해 먼저 확인할 수 있습니다.
해킹당하지 않았더라도 보안에 소홀하면 언제든 공격 위험에 노출됩니다. 가장 간단한 예방책은 신뢰할 수 있는 보안 플러그인을 설치해 보안 관리를 자동화하는 것입니다. Astra의 WP Hardening은 보안 감사와 수정 작업을 자동화하여 클릭 한 번으로 12가지 이상의 핵심 보안 항목을 강화할 수 있습니다.
웹사이트를 해킹으로부터 더욱 단단하게 보호하고 싶다면 WP Hardening을 무료로 설치해 보세요.
웹사이트에 대해 궁금한 점이나 걱정되는 부분이 있다면 댓글로 남기거나 문의해 주세요. 성심껏 답변드리겠습니다 :)