[해외보안뉴스] 삭제해도 스스로 복구되는 워드프레스 자가 치유 백도어 'SC' 발견
· 2026-10-01 15:00
· 조회 21
· 원문 ↗
보안 연구진이 관리자가 악성코드를 제거하더라도 지속적으로 스스로를 재구성하는 지능형 워드프레스(WordPress) 백도어 공격 기법을 규명했습니다. 'SC'라는 코드명으로 불리는 이 백도어는 감염 코드 내에 포함된 "SC_" 표식에서 유래되었으며, 보안 기업 수쿠리(Sucuri)는 이 악성코드를 '자가 치유 메쉬(Self-healing mesh)' 구조로 정의했습니다. 공격자는 사이트를 재침투할 필요 없이 최종 페이로드가 지속적으로 유지되도록 다중 지속성 메커니즘을 배포했습니다.
이 백도어는 워드프레스 환경의 파일 시스템, 데이터베이스, 그리고 PHP 공유 메모리(Shared Memory) 세그먼트를 동시에 활용하여 생존력을 극대화합니다. 세 가지 영역 중 어느 한 곳이라도 백도어 조각이 남아있다면, 이를 기반으로 삭제된 다른 악성 구성 요소를 즉시 재생성합니다. 이러한 특성 때문에 단순한 악성 파일 삭제나 일반적인 보안 플러그인의 스캔 수준으로는 완벽한 처리가 불가능하며, 수많은 워드프레스 기반 웹사이트가 재감염의 위험에 노출되어 있습니다.
이러한 고도화된 백도어에 대응하기 위해서는 다각도의 동시 정화 작업이 필수적입니다. 우선 워드프레스 코어 파일, 플러그인, 테마를 완전히 깨끗한 공식 버전으로 재설치하고, 데이터베이스 내부에서 'SC_' 마커가 포함된 의심스러운 테이블과 레코드를 검색해 전면 삭제해야 합니다. 더불어, PHP 서비스(예: PHP-FPM)를 재시작하여 공유 메모리에 남아 있는 백도어 페이로드를 완전히 제거해야 하며, 관리자 계정 자격 증명 재설정과 더불어 서버 무결성을 종합적으로 점검해야 합니다.
파일 시스템만 정적 스캔하던 기존 대응의 한계를 보여주는 고도화된 자가 복구형 악성코드네요.
파일, DB, 공유 메모리(SHM)에 상태가 분산되어 있으므로, 단순 코드 삭제가 아닌 프로세스 강제 종료 및 캐시/메모리까지 원자적(Atomic)으로 동시에 정화해야 합니다.
근본적 예방을 위해 PHP 프로세스의 SHM 접근 권한을 제한하고, 감지 시 서버 인스턴스 자체를 파기 후 재배포하는 불변 인프라(Immutable Infrastructure) 관점의 대응이 필요해 보입니다.
파일, DB, 공유 메모리 3가지 레이어를 교차 활용하는 '자가 치유' 메커니즘은 공격자 입장에서 최상의 지속성(Persistence)을 제공하는 매우 뛰어난 기법입니다. 보안 담당자가 파일 시스템만 정제하더라도 메모리와 DB에 남은 잔재가 서로를 실시간으로 재구성하므로 일반적인 웹셸 제거 및 대응 체계를 완벽히 무력화합니다. 서버 인프라를 완전히 정지하고 메모리를 플러시하지 않는 한 제거가 어렵다는 점에서, 레퍼런스 삼을 만한 극도의 거점 유지(Foothold) 공격 벡터입니다.
파일 시스템만 단편적으로 조치하는 기존의 침해 대응 방식으로는 DB와 공유 메모리까지 활용해 스스로 복구하는 고도화된 위협을 막을 수 없습니다.
이제는 악성코드 단순 제거를 넘어 자산 전체의 연계성을 검증하는 '입체적 침해사고 대응(IR) 프로세스'로 보안 정책을 재정비해야 합니다.
기업 내 사용 중인 CMS 및 오픈소스 자산에 대한 리스크 평가를 재실시하고, 완전한 정화가 확인될 때까지 정밀 진단과 상시 모니터링을 지속하는 거버넌스 체계를 강화하겠습니다.