Lazarus, CKEditor 경로 통해 자동화된 웹 셸 진입점 노출

두 개의 서로 다른 호스팅 환경에 자리 잡은 WordPress 사이트가 같은 플러그인 경로를 통해 공격의 첫 관문을 열고 있다. 체코의 Blueboard.cz 호스팅에 얹힌 kartacnictvi.cz와 칠레 POWER LINE DATACENTER(AS132839)에 해석되는 mokawafm.com이 바로 그 주인공이다. 두 도메인은 서로 다른 등록 기관, 서로 다른 네임서버, 서로 다른 IP 대역에 분산돼 있지만, /wp-content/plugins/ckeditor-for-wordpress/ckeditor/plugins/image/라는 동일한 경로 아래에서 익스플로잇 엔드포인트를 노출하고 있다. 이번 분석에서 가장 의미 있는 새로운 신호는 바로 이 경로에 붙어 있는 네 개의 URL이다.