Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites

핵심 요약

알 수 없는 공격자들이 TeamUpdraft의 웹사이트를 침해하여 인기 워드프레스 백업 플러그인인 UpdraftPlus 사용자의 UpdraftCentral 연결 키를 탈취하고 이를 이용해 워드프레스 사이트에 백도어를 설치했습니다. 공격자들은 UpdraftCentral, UpdraftVault, UpdraftClone과 관련된 고객 연결 키를 악용하여, T1505 Server Software Component 전술을 통해 워드프레스 서버에 지속적인 접근 권한을 확보하고 악성 콘텐츠를 주입했습니다. 이는 신뢰할 수 있는 벤더의 인프라 침해를 통해 다수의 최종 사용자 시스템에 악성코드를 유포하는 공급망 공격의 전형적인 수법입니다. IT 감사인은 조직 내 워드프레스 운영 현황을 파악하고, UpdraftCentral 등 관련 서비스 사용 여부를 즉시 점검하여 잠재적인 백도어 설치 여부 및 데이터 유출 가능성을 평가해야 합니다.

개선 권고안

• ✔기술적 조치조직 내 워드프레스 기반 웹사이트에서 UpdraftPlus 또는 UpdraftCentral 서비스를 사용하는 경우, 해당 서비스의 연결 키를 즉시 재설정하고, 워드프레스 웹 서버 및 데이터베이스에 대한 악성코드 및 웹쉘 스캔을 수행하여 백도어 설치 여부를 점검할 것을 권고함.
• ✔기술적 조치워드프레스 시스템의 파일 무결성 모니터링(FIM) 솔루션을 도입하거나 기존 솔루션의 탐지 규칙을 강화하여 비정상적인 파일 변경 및 생성 행위를 실시간으로 탐지하고 대응할 수 있도록 적용해야 함을 권고함.
• ✔관리적 조치모든 제3자 서비스 제공업체에 대한 보안 실사(Due Diligence) 및 공급망 보안 리스크 평가 절차를 강화하고, 계약서에 명확한 보안 요구사항과 책임 범위를 명시하며, 주기적인 보안 감사를 통해 이행 여부를 확인할 것을 권고함.
• ✔관리적 조치워드프레스 관리자 계정에 대한 다단계 인증(MFA)을 의무화하고, 강력한 비밀번호 정책을 적용하며, 불필요한 관리자 계정을 주기적으로 검토 및 삭제하여 계정 탈취로 인한 피해를 최소화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기