워드프레스 백도어, 복사본 8곳에 분산해 삭제 뒤 복원

워드프레스 백도어 ‘SC’는 파일을 삭제해도 데이터베이스와 공유 메모리 등에 남은 복사본으로 감염 상태를 되살렸다. 악성코드는 공개 이더리움 RPC 게이트웨이 약 20개를 통해 스마트컨트랙트의 명령을 조회했다. Sucuri 보안 분석가 가브리엘 바르보사(Gabriel Barbosa)는 9월 30일 공개한 분석에서 백도어를 제거한 뒤 수 초 만에 복구된 침해 사례를 다뤘다. Sucuri는 주입 코드에서 반복적으로 발견한 ‘SC_’ 표식을 따 악성코드를 SC라고 불렀다. 분석된 페이로드는 플러그인과 테마 파일, 데이터베이스, 공유 메모리 등 최소 8곳에 분산돼 있었다. 구성요소끼리 서로를 다시 만들 수 있어 파일 하나를 삭제하는 것만으로 감염을 끝내기…