[오늘의 보안] Balada 인젝터

<3줄 요약>

-  WordPress 관리자를 대상으로 9월 한 달 동안 Balada Injector 악성코드로 17,000개가 넘는 WordPress 웹사이트 공격
- tagDiv Composer 취약점을 사용하여 백도어 업로드, 악성 플러그인 추가, 악성 블로그 관리자 생성을 통해 손상된 사이트를 지속적으로 제어
- 404.php 파일에 백도어 설치 후 wp-content/plugins 디렉토리에 악성 wp-zexit 또는 wp-swamp 설치

 

Balada Injector 악성코드: 주로 리눅스 기반 호스트들을 공략하고, 고 언어로 만들어졌으며 백도어를 심어 정보를 빼돌리는 기능을 가진 백도어

크로스 사이트 스크립팅(XSS): 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법

WordPress: 프로그래밍 언어인 PHP로 작성된 설치형 블로그 CMS

 

 

https://thehackernews.com/2023/10/over-17000-wordpress-sites-compromised.html

Over 17,000 WordPress Sites Compromised by Balada Injector in September 2023

- 2023년 9월 한 달 동안 17,000개 이상의 WordPress 웹사이트가 Balada Injector 악성코드로 인해 손상

- 최근 공개된 크로스 사이트 스크립팅(XSS)을 악용할 수 있는 WordPress  tagDiv Composer 플러그인 취약점을 사용하여 취약한 Linux 시스템에 백도어 배포

- 위 취약점을 악용하여 악성 스크립트를 주입하고 백도어 업로드, 악성 플러그인 추가, 악성 블로그 관리자 생성을 통해 사이트에 대한 지속적인 액세스 설정

- 무작위 코드 삽입을 사용하여 원격 서버에서 2단계 악성 코드를 다운로드하고 실행하여 wp-zexit 플러그인 설치