Filesmanによる改ざんが多発？

2015年は、wordpressの改ざんが減ったと思っていました。

減った主な原因
wordpressのバージョンアップを行った
ID　adminを他のIDに変更した
wp-config.phpとフォルダーのパーミッションを変更した
FTPでIP制限をかける

おかげさまで、改ざんされて「悪意のあるサイト」として検索でブロックされることもゼロになりました。



しかし、この思いは全く違っていたことに気づきました。

昨年末より、合計で4サイト、サーバー会社から大量のメールが送られていると警告を受けました。改善しない場合は、サイトを閉鎖するとの内容です。

この正体が通称Filesmanによるものでした。

改ざん者の手口は、今まで、テーマ内のheader.phpやfooter.phpを改ざんして、悪意のあるサイトへリダイレクトする手法が主だと思っていました。ただ、このやり方だと検索エンジンがサイトをブロックしてしまうので、改ざんに成功しても無駄な行為になります。

インフルエンザのウイルスが人に感染しては、進化してゆくように、ホームページ改ざんも手口が変わってゆくのかもしれません。

Filesmanの改ざんは、複数のバックドアをわかりにくい箇所に設置します。たとえば、imgやimagesフォルダーのように画像ファイルしか置かない場所やプラグインフォルダーの最下層部等です。

バックドアは、コントロールパネルのようなもので、自由にファイルをアップロードできます。ホームページデータを削除することもできます。そして、WEBサーバーのメール送信機能を利用して、悪意のあるメールを大量にバラまきます。

他のケースもあるかと思いますが、私が経験した４サイトはすべて同様のものでした。

この改ざんの厄介なことは、検索エンジンでブロックされないこと、そしてサイトウィルスチェックもパスしてしまうことです。

つまり、改ざんされていることに気づいていないサイトのオーナーが無数にいるのではないかと思うわけです。

最近、国内外からなりすましメールが多く届くようになりました。もしかしたら、Filesmanによる改ざんで送られてきているのでは、と想像しています。まったく、根拠はありませんが。。。


サーバーにアップされているデータをダウンロードして、画像フォルダーなどに怪しいphp
ファイルがないか、チェックしてはどうでしょう。

Wordpressで作成したホームページの改ざんを防ぐ

改ざんされないためにやっておくこと 

1. Wordpressのバージョンアップ
   通常のブログとしてWordpressを使用しているのでしたら、ログインするたびに更新できるかチェックしましょう。当たり前のことを言うようですが、ホームページが改ざんされると、最終的にはサーバー上のファイルをすべて削除して、きれいなファイルをアップしなければなりません。仮にWordpressを構成するすべてのファイルに精通する人がいたとしても、一つ一つファイルをチェックしていたら、何か月もかかってしまいます。
2. 長い間（例、半年以上）更新されていないプラグインは使用しない
   Wordpressに慣れてくると、便利なプラグインをやたら使いたくなります。Exec-PHPなどは2年以上更新されていませんが、このようなプラウインや、Wordpress本体の最新バージョンに対応しないプラグインはどんなに便利であっても、使わないほうがよいでしょう。知人に聞くと、Wordpressのバージョンを更新しないのは、怠けているのではなく、更新したくてもこのようなプラグインをいくつか使っていて更新できないのが原因のようです。
3. ユーザーIDでadminは使わない
   総当たり攻撃 【 brute force attack 】 ブルートフォースアタックによる暗号の解読やパスワードの割り出しを困難にさせるために、IDはadminやドメイン名を使わないようにしましょう。
4. バックアップを必ず取る
   「バージョンアップしたらバックアップを取る」習慣をつけましょう。よくテーマだけバックアップを取る人がいますが、これでは改ざんされた場合、修復に時間がかかります。Mysqlもできればバックアップを取るようにしましょう。Mysqlは詳しくない方は、投稿と固定ページをエクスポートしましょう。
5. .ftpaccessでIP制限
   FTPサーバーのルートにIP制限用のファイルを設置します。改ざん者がすでにバックドアを取り付けた後で、ＩＰ制限を行っても無駄ですが、固定IPを持っている人はFTPサーバーを入手したら、IP制限を行っておきましょう。
6. パスワードは複雑に
   これも当然のことですが、覚えらるる簡単なパスワードを設定する人が多くいます。「まさか自分のホームページが改ざんされるとは」改ざんされてからしまったと反省します。
   Wordpressのログインパスワードだけでなく、FTPとサーバーコンパネのパスワードも合わせ複雑なものにしましょう。
7. Mysqlにログインしてデータをすべてエキスポートします。
8. 対応の良いホスティング会社のサーバーを使用する
   改ざんされても本来、修復はサーバーを契約した本人が対応するようになっています。ホスティング会社はほとんど対応しません。改ざんにより大量のメールがサーバーから送信されると、最悪アカウントを停止する場合があります。
   
   改ざんされたファイルを知らせてくれるホスティング会社ですが、参考までにロリポップとヘテムルをご紹介します
   
   ロリポップは、大量メールを送信する改ざんファイルのパーミッションを000に変更し、連絡してくれます。また、怪しいファイルの拡張子を.suspectedとに変更してくれます。
   
   ヘテムルは改ざんファイル名をテキストファイルにしてルートに保存してくれます。
   
   いずれも修復や今後の対策に役立ちます。

ロリポップ
初心者にもわかりやすいコントルールパネルで、無料のショッピングカートまでついています。
プラン変更の際でもサーバー以降やメールアドレス再設定の手間がありません。


ロリポップ

ヘテムル

マルチドメイン、マルチデータベース、共有 SSL など多彩な機能と 200.71ＧＢの大容量なサーバー環境が月額1,000円～！ ホームページつくるならレンタルサーバー 『ヘテムル』

20000ファイルが改ざん

2週間前、またホームページが改ざんされました。

今度はヘテムルサーバーにアップしていたwordpressのphpファイル、全部で約20000ファイルです。

各ファイルのヘッダー部分に下記のphpタグが埋め込まれていました。


<?php $zend_framework="\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e"; @error_reporting(0); $zend_framework

※長いので以下省略

10日ほどでようやく削除が終わり、wordpressの動作確認を行っています。

今回の改ざんは以前の改ざんとは異なるものです。

1.
改ざんファイルのタイムスタンプが更新されていない。
2010年のファイルまで改ざんされ、しかもタイムスタンプは2010年のままです。

2.
不明の管理者がwordpressに追加されている。

3.
すべてのphpファイルに上部のタグが埋め込まれる。
※以前はindex.phpフィルが主でした。


追記
つい先日Wordpress3.52が公開されました。51から52ですが、内容は改ざん対策です。
来週、バージョンアップしようと思います。

ほぼ同じ時期にトヨタ自動車のサイトが改ざんされ、いまだにメンテナンス中です。今年になり、CMS系サイトへの改ざんは加速しています。