前回のWEB改ざんはXML-RPC Pingbackの脆弱性が原因

2019年7月初旬に起こったwordpressホームページの改ざん（ホームページ改ざん:検索で表示されるタイトルと説明文が書き替えられた）は、XML-RPC Pingbackの脆弱性を利用され、DDOS攻撃によりバックドアを作られたのが原因のようです。

php5.3で作成された古いwordpressサイトをいきなり7.1に変更した場合、まったく動作しないことがあります。それが理由でバージョンアップせず放置しておくと今回のような改ざん被害にあってしまいます。

wordpressの心臓部分であるwp-config.phpにXML-RPC Pingbackを有効にするフィルターが追加されていました。

バックドアの削除、不正ファイルの削除、不正ソースの削除、wp-config.phpの不正フィルター部分を削除した後、Disable XML-RPC Pingbackプラグインを有効化して改ざんは収まり、1か月経過しました。

「GOODYEAR EAGLE REVSPEC スタンス RS-02 265 BBS/35R18」で検索すると、いまだに多く委のページが改ざんされたままになっています。

Disable XML-RPC Pingbackの重要性を改めて認識しました。

Wordpress 改ざんされないために絶対やっておくこと

先週、公開したばかりのwordpressサイト改ざんされました。

テーマ内のfunctions.phpが改ざんされ、ページが白紙表示になりました。

念のため、全ファイルをウイルスチェックすると、バックドアファイルが3か所に設定されていました。

なぜ、こうも簡単に改ざんされたのか。インストールした本人に確認すると推測されやすい、IDとパスワードを一時的に設定したそうで、単純な油断が原因でした。

改ざんされないために絶対やっておくこと

1. IDをadminにしないこと
2. パスワードは、不便であっても複雑にする。
3. プラグインをやたらに使用しない。また、使わないプラグインはさくじょする。Jetpackだけでも十分！
4. バージョンアップが行われないテーマを使用しない。公式のテーマを利用する。
5. phpファイル　wp-config.phpのパーミッションは400で設定する。

wordpress以外では、FTPのパスワードを複雑にする、PCで最新のウィルスソフトをインストールする。などあります。


とりあえず、これだけ行っておけば改ざんされにくいと思います。

ハッキングされている可能性

「悪意のサイト」そして、
「このサイトは第三者によってハッキングされている可能性があります」

Googleは新たに、警告を発信するようになりました。

改ざんするハッカーは、あの手この手で仕掛けてきます。


第三者によってハッキングされている可能性とは、あくまでも可能性であって、必ずしもハッキングとは限りません。しかし、明らかにサイト内で使われるキーワードが異常である、サイトのタイトルとは書き離れたコンテンツ（ぺージ）が多数存在している、そしてそれが突然起こった、こんな場合は、ハッキングの可能性が高いでしょう。

サーチコンソールでサイト内のキーワードやインデックスされたページ数を定期的にチェックすることをお勧めします。

ハッキングが確認されたら

ヘッダーやフッターに書き込む改ざんとは違いますので、どのファイルは改ざんされているのか探し出すのに苦労します。

まず、パスワードはすべて変更します。.ftpaccessも有効にします。

Wordpressであれば、サーバーから全ファイルを削除して、きれいなバックアップファイルをアップするのが賢明です。

特にgiｆ、pngの画像ファイルに見せかける手口もありますので、画像ファイルもすべて削除して、修復させましょう。

Filesmanによる改ざんが多発？

2015年は、wordpressの改ざんが減ったと思っていました。

減った主な原因
wordpressのバージョンアップを行った
ID　adminを他のIDに変更した
wp-config.phpとフォルダーのパーミッションを変更した
FTPでIP制限をかける

おかげさまで、改ざんされて「悪意のあるサイト」として検索でブロックされることもゼロになりました。



しかし、この思いは全く違っていたことに気づきました。

昨年末より、合計で4サイト、サーバー会社から大量のメールが送られていると警告を受けました。改善しない場合は、サイトを閉鎖するとの内容です。

この正体が通称Filesmanによるものでした。

改ざん者の手口は、今まで、テーマ内のheader.phpやfooter.phpを改ざんして、悪意のあるサイトへリダイレクトする手法が主だと思っていました。ただ、このやり方だと検索エンジンがサイトをブロックしてしまうので、改ざんに成功しても無駄な行為になります。

インフルエンザのウイルスが人に感染しては、進化してゆくように、ホームページ改ざんも手口が変わってゆくのかもしれません。

Filesmanの改ざんは、複数のバックドアをわかりにくい箇所に設置します。たとえば、imgやimagesフォルダーのように画像ファイルしか置かない場所やプラグインフォルダーの最下層部等です。

バックドアは、コントロールパネルのようなもので、自由にファイルをアップロードできます。ホームページデータを削除することもできます。そして、WEBサーバーのメール送信機能を利用して、悪意のあるメールを大量にバラまきます。

他のケースもあるかと思いますが、私が経験した４サイトはすべて同様のものでした。

この改ざんの厄介なことは、検索エンジンでブロックされないこと、そしてサイトウィルスチェックもパスしてしまうことです。

つまり、改ざんされていることに気づいていないサイトのオーナーが無数にいるのではないかと思うわけです。

最近、国内外からなりすましメールが多く届くようになりました。もしかしたら、Filesmanによる改ざんで送られてきているのでは、と想像しています。まったく、根拠はありませんが。。。


サーバーにアップされているデータをダウンロードして、画像フォルダーなどに怪しいphp
ファイルがないか、チェックしてはどうでしょう。

Wordpressで作成したホームページの改ざんを防ぐ

改ざんされないためにやっておくこと 

1. Wordpressのバージョンアップ
   通常のブログとしてWordpressを使用しているのでしたら、ログインするたびに更新できるかチェックしましょう。当たり前のことを言うようですが、ホームページが改ざんされると、最終的にはサーバー上のファイルをすべて削除して、きれいなファイルをアップしなければなりません。仮にWordpressを構成するすべてのファイルに精通する人がいたとしても、一つ一つファイルをチェックしていたら、何か月もかかってしまいます。
2. 長い間（例、半年以上）更新されていないプラグインは使用しない
   Wordpressに慣れてくると、便利なプラグインをやたら使いたくなります。Exec-PHPなどは2年以上更新されていませんが、このようなプラウインや、Wordpress本体の最新バージョンに対応しないプラグインはどんなに便利であっても、使わないほうがよいでしょう。知人に聞くと、Wordpressのバージョンを更新しないのは、怠けているのではなく、更新したくてもこのようなプラグインをいくつか使っていて更新できないのが原因のようです。
3. ユーザーIDでadminは使わない
   総当たり攻撃 【 brute force attack 】 ブルートフォースアタックによる暗号の解読やパスワードの割り出しを困難にさせるために、IDはadminやドメイン名を使わないようにしましょう。
4. バックアップを必ず取る
   「バージョンアップしたらバックアップを取る」習慣をつけましょう。よくテーマだけバックアップを取る人がいますが、これでは改ざんされた場合、修復に時間がかかります。Mysqlもできればバックアップを取るようにしましょう。Mysqlは詳しくない方は、投稿と固定ページをエクスポートしましょう。
5. .ftpaccessでIP制限
   FTPサーバーのルートにIP制限用のファイルを設置します。改ざん者がすでにバックドアを取り付けた後で、ＩＰ制限を行っても無駄ですが、固定IPを持っている人はFTPサーバーを入手したら、IP制限を行っておきましょう。
6. パスワードは複雑に
   これも当然のことですが、覚えらるる簡単なパスワードを設定する人が多くいます。「まさか自分のホームページが改ざんされるとは」改ざんされてからしまったと反省します。
   Wordpressのログインパスワードだけでなく、FTPとサーバーコンパネのパスワードも合わせ複雑なものにしましょう。
7. Mysqlにログインしてデータをすべてエキスポートします。
8. 対応の良いホスティング会社のサーバーを使用する
   改ざんされても本来、修復はサーバーを契約した本人が対応するようになっています。ホスティング会社はほとんど対応しません。改ざんにより大量のメールがサーバーから送信されると、最悪アカウントを停止する場合があります。
   
   改ざんされたファイルを知らせてくれるホスティング会社ですが、参考までにロリポップとヘテムルをご紹介します
   
   ロリポップは、大量メールを送信する改ざんファイルのパーミッションを000に変更し、連絡してくれます。また、怪しいファイルの拡張子を.suspectedとに変更してくれます。
   
   ヘテムルは改ざんファイル名をテキストファイルにしてルートに保存してくれます。
   
   いずれも修復や今後の対策に役立ちます。

ロリポップ
初心者にもわかりやすいコントルールパネルで、無料のショッピングカートまでついています。
プラン変更の際でもサーバー以降やメールアドレス再設定の手間がありません。


ロリポップ

ヘテムル

マルチドメイン、マルチデータベース、共有 SSL など多彩な機能と 200.71ＧＢの大容量なサーバー環境が月額1,000円～！ ホームページつくるならレンタルサーバー 『ヘテムル』

なりすましメール

私の場合、メールアドレスを数十持っていて、1つのメールアドレス（A）をフリーの国内外のソフトや素材を得るための登録メールアドレスとして使い、銀行など重要な登録用には別のメールアドレス（B)を使っています。

そのため、（A)のメールアドレスには、なりすましメールが毎日、国内外から多数届きます。

送信者を「銀行名」にして送られてくるなりすましは要注意なのはほとんどの方がご存知でしょう。銀行名以外でも、最近では、Facebook、Amazon、ドメインの発行期間、友人を装う個人名、海外の政府機関等、無数に送信者名を偽造してなりすましメールが送られてきます。

特に、私も戸惑ったのが、「ドメインの発行期間」を装ったなりすましメールです。
「○○○.comの有効期限があと数日できれます。更新はこちらから。」といった内容のメールが英文で来るわけです。どうやらwhois情報で、メールアドレスを入手し、送ってくるようです。

なりすましをブロックするウイルスソフトをPCやスマホに入れていないと、大変危険な時代になりました。

先週、リゾート系のホームページがFilemanバックドアで改ざんされました。以前の投稿でこのFilfemanについて書きましたが、ホームページのメール機能を使って3000通のメールが送られました。

Filfemanの改ざんは2度目だったので、1日で食い止めることができましたが、いったい3000ものメールはどんな内容だったのか。もしかしたら、なりすましに使われているのでは？？？

契約しているホスティングが1時間当たりのメール送信数に制限をかけていて、気づきましたが、もし制限のないサーバーでしたら、なりすましメールの発信元になってしまうのではと危惧しています。

おそらく、知らずにそうなっていて気づいていないサイトオーナーの方が大勢いるのではないでしょうか。

20000ファイルが改ざん

2週間前、またホームページが改ざんされました。

今度はヘテムルサーバーにアップしていたwordpressのphpファイル、全部で約20000ファイルです。

各ファイルのヘッダー部分に下記のphpタグが埋め込まれていました。


<?php $zend_framework="\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e"; @error_reporting(0); $zend_framework

※長いので以下省略

10日ほどでようやく削除が終わり、wordpressの動作確認を行っています。

今回の改ざんは以前の改ざんとは異なるものです。

1.
改ざんファイルのタイムスタンプが更新されていない。
2010年のファイルまで改ざんされ、しかもタイムスタンプは2010年のままです。

2.
不明の管理者がwordpressに追加されている。

3.
すべてのphpファイルに上部のタグが埋め込まれる。
※以前はindex.phpフィルが主でした。


追記
つい先日Wordpress3.52が公開されました。51から52ですが、内容は改ざん対策です。
来週、バージョンアップしようと思います。

ほぼ同じ時期にトヨタ自動車のサイトが改ざんされ、いまだにメンテナンス中です。今年になり、CMS系サイトへの改ざんは加速しています。

やっかいなマルウェア 続き

MaAfee、トレンドマイクロ、ノートン、そしてGoogleウェブマスターツールまで検知しないマルウェアに改ざんされているホームページは、本日ホスティングサーバー会社から下記の連絡を受け閉鎖されました。

----
被害拡大を防ぐため、該当ファイルのパーミッションを「000」へ変更いたしました。
----

改ざんされたホームページに、Wordpressはインストールされていませんでしたが、管理用にphpを使っていました。その階層のindex.phpにトロイ系のソースが仕込まれ、それがhtmlファイルを改ざんした主犯のような気がします。

結局、Googleのウェブマスタツールはこのマルウェアを検知できませんでした。今まで、このツールで数百ものホームページをチェックしていたので、改ざんをチェックできないマルウェアの存在は正直ショックです。

改ざん対策の現時点での総括

Wordpressは以下を実行
最新バージョンにする
※自動更新ではなく手動でおこなう。自動で行う場合、パーミッションの変更をFTPで行わなければならないので、むしろ手間になる。

パーミッションの変更
phpのパーミッションは604（config.phpは404）
ディレクトリは705
htaccessは604

WAFを導入する
ＷＡＦをオンにすると、動作しなくなる機能（プラグイン）がある。

定期的にファイルのデイトスタンプをチェックする。特にindex.phpの育成日付はチェック要。

当然ですが、バックアップはこまめに行う。

ホームページの改ざん（1）

丁度、2011年末ごろから、Wordpressへの改ざんが増え始め、大変苦労した（正確には、苦労しているの進行形です）経験があります。

やっと、あるパターンの改ざんを処理できたと思いきや、新たな改ざんがしばらくすると流行りだします。これを仕掛けている人間は「愉快犯」、それとも何かメリットでもあるのでしょうか。

最初は、ヘテムルでレンタルしていたサーバーが次から次への改ざんされました。年末年始も容赦なく改ざんされ、サーバーを他に移管しようかと真剣に考えました。ヘテムル側は、cgi、php、ディレクトリーのパーミションを変更してくれましたが、改ざんされたファイルが多すぎて、途方もない作業でした。何とか、改ざんが収まり一瞬安心していたところ、今度は、ロリポップのサーバー、CPIのサーバーと、Wordpressをインストールしたホームページが改ざんされ始めました。

以前は、index.back.phpのようなファイルや意味不明のファイルが育成されていましたが、最近ではジャバスクリプトファイル(拡張子がjsのファイル)にソースが書き込まれ、index.phpが改ざんされるケースも増えてきました。また、Boxtheme.zip(解凍すると、plugin.phpとsatan.phpが現れてupgradeディレクトリ内に育成され、改ざんを開始するようなパターンも発見しました。

Boxtheme.zipをGoogleで検索すると、Index of /wp-content/uploadsのようなタイトルのサイトが多く表示されます。どうやらこれらのサイトはすべて改ざんされている、あるいは最近まで改ざんされていたサイトのようです。日本のサイトはあまり見出せないので、とりあえず、育成されたBoxthemeディレクトリーを削除しました。こんなことをしても何の解決にもならなかもしれませんが、とりあえず、様子見です。

それでは、次回報告まで