누군가 워드프레스 플러그인 30개를 구매하고 그 모든 플러그인에 백도어를 심었음

Context

WordPress 플러그인 생태계의 소유권 이전 시 코드 재검토 절차 부재를 악용한 공급망 공격 사례임. 신뢰도가 확보된 기존 플러그인을 매입하여 백도어를 삽입하고 8개월간 잠복시킨 뒤 활성화하는 고도로 설계된 공격 패턴을 보임.

Technical Solution

• Ethereum 스마트 컨트랙트를 이용한 C2 도메인의 동적 관리로 일반적인 도메인 차단 무력화
• @unserialize()와 원격 함수 실행 로직을 결합한 fetch_ver_info() 및 version_info_clean() 함수 설계
• permission_callback: __return_true 설정을 통한 인증 없는 REST API 엔드포인트 생성으로 RCE 경로 확보
• wpos-analytics 모듈을 통한 원격 PHP 파일 다운로드 및 wp-config.php 내 악성 코드 주입 자동화
• Googlebot에만 선택적으로 노출되는 스팸 링크 및 리디렉션 로직 구현으로 탐지 회피