워드프레스 홈페이지 해킹 당함, 복구중

구글 애드센스 광고를 복구 시킨 이후로 내가 거의 매일같이 보는 것이 있었다.
바로 검색 결과.
그런데 어느날부터 황금고블린을 쳐봐도 검색 결과에 메인페이지가 뜨지 않는 것이다.
일시적인 현상인줄 알고 가만히 뒀다.
그런데 이게 웬걸?
이상한 한자 섞인 사이트가 내 도메인 golden-goblin.com을 걸고 튀어나와 있는 것이다.
그 때 눈치를 챘다.
내 워드프레스 홈페이지가 해킹 당했다는 것을.
그래서 사태를 파악하고 현재 복구중이다.
최종적으로 검색 결과에도 멀쩡히 반영되는 상태로 되돌아가는 과정을 쭉 남겨보려고 한다.
아예 처음 상태로 홈페이지를 되돌리면 가장 간단한 문제겠지만, 황금고블린 홈페이지는 내가 개인 취미로 조금씩 만져서 만들다보니 딱 완성되었다! 백업 해놓자! 한 시점이 없었다…
틈틈히 백업을 해놨어야 했는데… 큰 배움을 얻었다.
빌어먹을 해커놈 덕분에.

문제 파악

내가 파악한 문제는 우선 워드프레스 플러그인이 모조리 삭제되어 있었다는 것이다.
그래서 홈페이지가 제대로 뜨지 않았다.
이 부분은 따로 캡쳐를 해놓지 않아서… 흔적이 없네.
마음이 급했다.
이것도 다 콘텐츠감인 것을….

다음으로 사이트맵이 이상한 상태라는 것.
사이트맵에 온갖 알 수 없는 url이 나열되어있다.
애초에 내가 사용하던 사이트맵의 화면조차 아니다.

마지막으로, index.php 파일의 상태가 메롱이라는 것이다.
이걸로 인해 황금고블린 홈페이지 해킹사태는 워드프레스가 뚫린 것이라고 추론을 했다.
일반적으로 index 파일은 어느 홈페이지든 있겠지만, 딱 워드프레스 index 파일의 상단에 이상한 코드들이 심어졌기 때문이다.

해결을 위한 조치

먼저 내가 사용하고 있는 호스팅사인 bluehost( https://www.bluehost.com/ )에 서버 롤백을 요청했다.
cpanel에서 해당 기능을 찾지 못해서 채팅 문의로 요청을 했다.
그래서 5월 25일 기준으로 restore 해준다고 해서 뒀는데, 6월 2일 글이 안 지워진 걸로 봐서는 뭔가 요상하게 복구를 해준 모양이다.
어쨌든 플러그인들은 모두 복구가 됐다.
플러그인을 다시 재설치 하니 일단 홈페이지의 외형은 회복이 되었다.(광고도 다시 붙었고…)

다음 조치로는 wp-content의 upload 폴더에서 의심스러운 파일들을 다 지웠다.
내 경우에는 cache-wpml 안의 파일들이 요상하게 생겨서 그냥 다 지워버렸다.
왜냐면 이상한 페이지로 검색 노출이 되는 페이지들 중에서 wpml의 주소 체계와 유사한 부분들이 보이기도 했기 때문이다.
golden-goblin.com/fr 이런식의 주소들이 있었다.

그래도 사이트맵 등은 회복이 되지 않았다.
그래서 이번엔 index.php의 이상한 코드들을 싹 밀어버렸다.
그리고 나서 sitemap 플러그인들을 갈아엎었다.
기존 플러그인을 지우고 다시 설치했다.

이러한 조치를 취하고 나니 사이트맵에 나타나는 페이지가 다시 정상화 되었다.
이후 구글 서치 콘솔에서 수정을 했다고 재검토 요청을 올려놓고 대기중이다.

복구 결과

아직 진행중이니 간략하게 현상황을 말한다.
별 변화가 없다.
당연히 검색 결과가 실시간으로 적용되는 게 아니니 어쩔 수 없겠지.
여러가지 사례를 검색해보니 나처럼 index 파일이 이상해진 경우 말고도 wp-content/upload 안에 삭제할 수 없는 파일들이 업로드 되고 하는 경우들도 있다고 한다.
이번 처리에도 해결이 되지 않으면 더 찾아보면서 하나하나씩 조져가야지.
우선은 sitemap이 멀쩡해졌으니 좀 상황이 나아지지 않을까 하는 희망을 품어본다.
이후 결과들은 이 글에 업데이트 하면서 이어가려고 한다.
최종적으로 해결되면 복구중을 빼고 해결이라고 시원하게 붙일 수 있겠지.
그 날을 기대 바란다.
그럼 이만!