해커가 패치되지 않은 워드프레스 설치를 완전히 손상시킬 수 있는, Elementor WordPress 플러그인을 위한 Elementor Pro와 Ultimate Addons에 존재하는 두가지 취약점을 악용한 사실이 밝혀졌다.

워드팬스 보안 전문가들은 공격이 시작된 2020년 5월 6일 이후 두가지 이슈를 타깃으로 하는 해킹 캠페인을 관찰해왔다. 이들이 발행한 보고서는 Elementor Pro와 Ultimate Addons의 플러그인에 존재하는 두가지 관련 취약점이 해커들에 의해 적극적으로 악용되고 있다는 보고를 받았고, 공격 활동을 확인하기 위해 손상된 사이트의 로그 파일을 검토하였다고 설명한다.

또한 “해당 공격 캠페인의 영향을 받는 플러그인 두가지이다. 첫번째는 Elementor가 만든 Elementor Pro다. 이 플러그인에는 사용자가 고액 등록한 경우 악용할 수 있는 제로데이 취약점이 있다. 두번째 플러그인은 Brainstorm Force에서 만든 Elementor용 Ultimate Addons이다.”라고 설명했다.

Elementor Pro는 실제로 1백만개 이상 웹 사이트에 설치된 유료 플러그인으로, 사용자가 워드프레스 웹 사이트를 쉽게 만들 수 있도록 한다. Elementor Pro는 등록된 사용자 접근 권한을 가진 공격자가 대상 웹 사이트에 임의 파일을 업로드하고 원격 코드를 실행하기 위해 악용 가능한 원격 코드 실행 취약점의 영향을 받는다.

악용에 성공한 공격자들은 백도어 또는 웹쉘을 설치하여 웹 사이트에 지속적으로 접근할 수 있고, 전체 관리자 권한을 얻어 사이트를 완전 장악 및 삭제도 가능하다.

공격자가 사용자로 등록되지 않은 경우, Ultimate Addons에 영향을 미치는 다른 취약점을 악용해 ‘구독자’ 수준 사용자로 등록할 수 있다. 그런 다음 새로 등록된 계정을 사용해 Elementor Pro 제로데이 취약점을 익스플로잇, 원격 코드를 실행할 수 있다.

Elementor 워드프레스 플러그인용 Ultimate Addons는 11만개 이상 사이트에 설치되어 있고, Wordfence 보안 전문가들은 사용자 등록이 비활성화된 경우에도 플러그인을 실행하는 모든 사이트에서 해당 이슈가 악용될 수 있다고 지적했다.

진행 중인 공격을 방어하기 위해 워드프레스 사이트 관리자는 Elementor Pro를 버전 2.9.4로 업데이트, Ultimate Addons for Elementor를 버전 1.24.2 이상으로 업데이트해야 한다.

또한 Wordfence는 사이트 해킹 여부를 확인하기 위해 아래 방법을 사용할 것을 권고했다.

-사이트에 신원이 불분명한 ‘구독자’ 수준 사용자가 있는지 확인하기: 사이트가 이 캠페인을 통해 해킹 당했다는 증거일 가능성 있으며, 해당 계정은 제거해야 한다.

-‘wp-xmlrpc.php’ 파일이 있는지 확인하기: 이 또한 사이트 손상의 징후가 될 수 있다.

-‘/wp-content/uploads/elementor/custom-icons/’ 경로 내 알 수 없는 파일 및 폴더 모두 삭제하기: 악성 사용자 수준 계정이 생성된 후 이 경로에 존재하는 파일은 사이트 해킹을 의미한다.

★정보보안 대표 미디어 데일리시큐!★

◇상반기 최대 개인정보보호&정보보안 컨퍼런스 G-PRIVACY 2020 개최
-날짜: 2020년 5월 28일
-장소: 더케이호텔서울 2층 가야금홀
-참석: 공공·금융·기업 개인정보보호 및 정보보안 책임자·실무자
-교육이수: 7시간 인정
-사전등록: 사전등록 클릭
-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com