평가: 일반적인 관리, 구성 및 맬웨어 관련 경로를 대상으로 하는 WordPress 정찰 및 악용 스캔이 조직적으로 수행되었습니다. 활동에는 민감한 구성 파일, 알려진 악성 웹셸 파일 이름, WordPress 로그인 인터페이스, AJAX 핸들러 및 XML-RPC 엔드포인트 탐색이 포함되었습니다. 여러 요청에서 브라우저 지문이 일관되지 않게 나타났으며, 동일한 자동화된 인프라에서 시작되었음에도 불구하고 서로 다른 운영 체제에서 Chrome, Firefox 및 Safari를 번갈아 사용했습니다. 이러한 동작은 사람의 브라우징보다는 스크립트 스캔과 일치합니다. 침해는 관찰되지 않았습니다. 탐색 요청은 HTTP 409 및 406 응답으로 일관되게 거부되었습니다. 여러 정상 디렉터리에서 HTTP 200 응답이 반환되어 디렉터리 인덱싱이 여전히 노출되어 있음을 나타냅니다. ## 소스 시스템 | IP 주소 | 네트워크 | 히트 수 | 관찰된 활동 | 평가 | |------------|---------|------|-------------------|------------| | 20.24.222.184 | Microsoft Azure | ~20 | `/wp-content/`, `/wp-admin/`, `/wp-includes/` 열거; 웹셸 및 백도어 파일 이름 탐색 | 악성 자동 스캐너 | | 52.242.132.37 | Microsoft Azure | ~14 | `wp-good.php`, `wmc.php`, `wp-config.php`, `xmlrpc.php` 및 관련 대상 탐색 | 악성 자동 스캐너 | | 159.13.55.134 | 출처 불명 | ~6 | 로그인, 관리자 Ajax, SSO, REST API 및 배치 엔드포인트 탐색 | 악성 자동 스캐너 | | 45.131.193.29 | 호스팅 제공업체 범위 | 1 | `wp-login.php` 직접 탐색 | 자격 증명 공격 정찰 | | 165.22.255.246 | DigitalOcean | ~3 | 기존 WordPress 경로 및 버전 검색 스캔 | WordPress 정찰 스캐너 | ## 관찰된 목표 ### 1. 구성 파일 탈취 시도: 데이터베이스 연결 정보 및 보안 설정이 포함된 WordPress 기본 구성 파일인 `wp-config.php`에 접근하려는 시도. ### 2. 기존 백도어 탐지: 다음 파일에 대한 요청: - `wp-good.php` - `vx.php` - `kir.php` - `bypass.php` - `wmc.php` 이러한 파일 이름은 일반적으로 이전에 배포된 웹셸 및 악성 지속성 메커니즘과 관련이 있습니다. 이러한 요청은 최초 침해 시도가 아닌 이미 침해된 호스트를 검색하는 것으로 나타납니다. ### 3. 원격 접근 및 악용 벡터: 다음 위치를 대상으로 하는 요청: - `xmlrpc.php` - `admin-ajax.php` - REST API 엔드포인트 이러한 위치는 인증 악용, 무차별 대입 공격, SSRF(서버 사이드 프로그램 오류) 기회 및 취약한 플러그인 기능에 대한 공격 대상으로 자주 평가됩니다. ### 4. 인증 테스트 `wp-login.php`에 대한 직접 접근 시도는 자격 증명 유효성 검사 및 계정 열거 활동을 나타냅니다. ## 영향 평가 - 성공적인 접근은 관찰되지 않았습니다. - 성공적인 실행은 관찰되지 않았습니다. - 인증 우회 증거는 발견되지 않았습니다. - 파일 유출 증거는 발견되지 않았습니다. - 코드 실행 증거는 발견되지 않았습니다. - 방어 제어 시스템이 모든 악의적인 시도를 성공적으로 차단했습니다. ## 권장 대응 ### 1. 식별된 소스 차단 방화벽, 리버스 프록시에서 차단 규칙을 적용합니다.CDN 또는 WAF 수준에서 다음 IP 주소를 차단합니다. - 20.24.222.184 - 52.242.132.37 - 159.13.55.134 - 45.131.193.29 - 165.22.255.246 ### 2. XML-RPC 제한: 운영상 필요하지 않은 경우 `xmlrpc.php`에 대한 접근을 비활성화하거나 엄격하게 제한합니다. ### 3. 디렉터리 인덱싱 제거: 디렉터리 목록은 캐시 및 JavaScript 자산 디렉터리를 포함한 여러 위치에서 접근 가능했습니다. 인덱싱 비활성화: ```apache Options -Indexes ``` ### 4. 인증 강화 - `wp-login.php`에 대한 접근 속도 제한 - 가능한 경우 MFA(다단계 인증) 적용 - 가능한 경우 소스 네트워크별로 관리자 접근 제한 - 인증 실패 시도 모니터링 ### 5. 악용 신고 - 증빙 로그 제출: - Microsoft Azure 악용 신고 - abuse@digitalocean.com - AbuseIPDB ### 6. 후속 활동 모니터링 - 자동화된 WordPress 스캐너는 정기적으로 인프라를 변경합니다. 인접 IP 범위를 모니터링하고 동일한 파일 이름, 경로 및 사용자 에이전트 패턴에 대한 반복 요청을 확인합니다. ## 결론 - 이 활동은 노출된 구성 파일, 이전에 배포된 웹셸, 관리 인터페이스 및 인증 표면을 찾는 데 초점을 맞춘 악의적인 자동화 WordPress 스캔 캠페인이었습니다. 관찰된 모든 공격 시도는 기존 보호 조치에 의해 차단되었습니다. 확인된 주요 잔여 문제는 노출된 디렉터리 인덱싱이며, 정보 유출을 줄이기 위해 비활성화해야 합니다. 기존 WAF 제어는 관찰된 모든 공격 시도를 성공적으로 차단했습니다. Fiveo1 우편 사서함 312786 캘리포니아주 아발론 90704 에반 윈터, 제69지구캘리포니아 90704 에반 윈터, 제69지구캘리포니아 90704 에반 윈터, 제69지구
← Fiveo1으로 돌아가기 ← Back to Fiveo1
