Filesmanによる改ざんが多発？

2015年は、wordpressの改ざんが減ったと思っていました。

減った主な原因
wordpressのバージョンアップを行った
ID　adminを他のIDに変更した
wp-config.phpとフォルダーのパーミッションを変更した
FTPでIP制限をかける

おかげさまで、改ざんされて「悪意のあるサイト」として検索でブロックされることもゼロになりました。



しかし、この思いは全く違っていたことに気づきました。

昨年末より、合計で4サイト、サーバー会社から大量のメールが送られていると警告を受けました。改善しない場合は、サイトを閉鎖するとの内容です。

この正体が通称Filesmanによるものでした。

改ざん者の手口は、今まで、テーマ内のheader.phpやfooter.phpを改ざんして、悪意のあるサイトへリダイレクトする手法が主だと思っていました。ただ、このやり方だと検索エンジンがサイトをブロックしてしまうので、改ざんに成功しても無駄な行為になります。

インフルエンザのウイルスが人に感染しては、進化してゆくように、ホームページ改ざんも手口が変わってゆくのかもしれません。

Filesmanの改ざんは、複数のバックドアをわかりにくい箇所に設置します。たとえば、imgやimagesフォルダーのように画像ファイルしか置かない場所やプラグインフォルダーの最下層部等です。

バックドアは、コントロールパネルのようなもので、自由にファイルをアップロードできます。ホームページデータを削除することもできます。そして、WEBサーバーのメール送信機能を利用して、悪意のあるメールを大量にバラまきます。

他のケースもあるかと思いますが、私が経験した４サイトはすべて同様のものでした。

この改ざんの厄介なことは、検索エンジンでブロックされないこと、そしてサイトウィルスチェックもパスしてしまうことです。

つまり、改ざんされていることに気づいていないサイトのオーナーが無数にいるのではないかと思うわけです。

最近、国内外からなりすましメールが多く届くようになりました。もしかしたら、Filesmanによる改ざんで送られてきているのでは、と想像しています。まったく、根拠はありませんが。。。


サーバーにアップされているデータをダウンロードして、画像フォルダーなどに怪しいphp
ファイルがないか、チェックしてはどうでしょう。

Wordpressで作成したホームページの改ざんを防ぐ

改ざんされないためにやっておくこと 

1. Wordpressのバージョンアップ
   通常のブログとしてWordpressを使用しているのでしたら、ログインするたびに更新できるかチェックしましょう。当たり前のことを言うようですが、ホームページが改ざんされると、最終的にはサーバー上のファイルをすべて削除して、きれいなファイルをアップしなければなりません。仮にWordpressを構成するすべてのファイルに精通する人がいたとしても、一つ一つファイルをチェックしていたら、何か月もかかってしまいます。
2. 長い間（例、半年以上）更新されていないプラグインは使用しない
   Wordpressに慣れてくると、便利なプラグインをやたら使いたくなります。Exec-PHPなどは2年以上更新されていませんが、このようなプラウインや、Wordpress本体の最新バージョンに対応しないプラグインはどんなに便利であっても、使わないほうがよいでしょう。知人に聞くと、Wordpressのバージョンを更新しないのは、怠けているのではなく、更新したくてもこのようなプラグインをいくつか使っていて更新できないのが原因のようです。
3. ユーザーIDでadminは使わない
   総当たり攻撃 【 brute force attack 】 ブルートフォースアタックによる暗号の解読やパスワードの割り出しを困難にさせるために、IDはadminやドメイン名を使わないようにしましょう。
4. バックアップを必ず取る
   「バージョンアップしたらバックアップを取る」習慣をつけましょう。よくテーマだけバックアップを取る人がいますが、これでは改ざんされた場合、修復に時間がかかります。Mysqlもできればバックアップを取るようにしましょう。Mysqlは詳しくない方は、投稿と固定ページをエクスポートしましょう。
5. .ftpaccessでIP制限
   FTPサーバーのルートにIP制限用のファイルを設置します。改ざん者がすでにバックドアを取り付けた後で、ＩＰ制限を行っても無駄ですが、固定IPを持っている人はFTPサーバーを入手したら、IP制限を行っておきましょう。
6. パスワードは複雑に
   これも当然のことですが、覚えらるる簡単なパスワードを設定する人が多くいます。「まさか自分のホームページが改ざんされるとは」改ざんされてからしまったと反省します。
   Wordpressのログインパスワードだけでなく、FTPとサーバーコンパネのパスワードも合わせ複雑なものにしましょう。
7. Mysqlにログインしてデータをすべてエキスポートします。
8. 対応の良いホスティング会社のサーバーを使用する
   改ざんされても本来、修復はサーバーを契約した本人が対応するようになっています。ホスティング会社はほとんど対応しません。改ざんにより大量のメールがサーバーから送信されると、最悪アカウントを停止する場合があります。
   
   改ざんされたファイルを知らせてくれるホスティング会社ですが、参考までにロリポップとヘテムルをご紹介します
   
   ロリポップは、大量メールを送信する改ざんファイルのパーミッションを000に変更し、連絡してくれます。また、怪しいファイルの拡張子を.suspectedとに変更してくれます。
   
   ヘテムルは改ざんファイル名をテキストファイルにしてルートに保存してくれます。
   
   いずれも修復や今後の対策に役立ちます。

ロリポップ
初心者にもわかりやすいコントルールパネルで、無料のショッピングカートまでついています。
プラン変更の際でもサーバー以降やメールアドレス再設定の手間がありません。


ロリポップ

ヘテムル

マルチドメイン、マルチデータベース、共有 SSL など多彩な機能と 200.71ＧＢの大容量なサーバー環境が月額1,000円～！ ホームページつくるならレンタルサーバー 『ヘテムル』

なりすましメール

私の場合、メールアドレスを数十持っていて、1つのメールアドレス（A）をフリーの国内外のソフトや素材を得るための登録メールアドレスとして使い、銀行など重要な登録用には別のメールアドレス（B)を使っています。

そのため、（A)のメールアドレスには、なりすましメールが毎日、国内外から多数届きます。

送信者を「銀行名」にして送られてくるなりすましは要注意なのはほとんどの方がご存知でしょう。銀行名以外でも、最近では、Facebook、Amazon、ドメインの発行期間、友人を装う個人名、海外の政府機関等、無数に送信者名を偽造してなりすましメールが送られてきます。

特に、私も戸惑ったのが、「ドメインの発行期間」を装ったなりすましメールです。
「○○○.comの有効期限があと数日できれます。更新はこちらから。」といった内容のメールが英文で来るわけです。どうやらwhois情報で、メールアドレスを入手し、送ってくるようです。

なりすましをブロックするウイルスソフトをPCやスマホに入れていないと、大変危険な時代になりました。

先週、リゾート系のホームページがFilemanバックドアで改ざんされました。以前の投稿でこのFilfemanについて書きましたが、ホームページのメール機能を使って3000通のメールが送られました。

Filfemanの改ざんは2度目だったので、1日で食い止めることができましたが、いったい3000ものメールはどんな内容だったのか。もしかしたら、なりすましに使われているのでは？？？

契約しているホスティングが1時間当たりのメール送信数に制限をかけていて、気づきましたが、もし制限のないサーバーでしたら、なりすましメールの発信元になってしまうのではと危惧しています。

おそらく、知らずにそうなっていて気づいていないサイトオーナーの方が大勢いるのではないでしょうか。

Wordpressのプラグイン

Wordpressのプラグインは無数にあります。

便利なプラグインを見つけると、つい使ってみたくなります。しかし、ホームページが改ざんされたときのことを考え、プラグインの選択は慎重に行ったほうがよいでしょう。

特に、半年以上バージョンアップされていないようなプラグインはレッドカードです。

Googleの検索システムはホームページのソースに不正サイトにリダイレクトされるようなコードが埋め込まれていると「悪意のあるサイト」と認定し、ブロックします。これらの改ざんは、悪性腫瘍と似ています。他人のサイトを利用して、悪意のある行為を行うのですが、「せっかく」改ざんに成功したのに、すぐにブロックがかけられ、自らも滅ぼしてしまうからです。

しかし、最近の改ざんはGoogleの改ざんシステムやウイルスソフトを回避して行われます。つまり、改ざんされていてもサイトのオーナーですら、築かないことが多いようです。

Wordpressが最新バージョンであっても、プラグインが古いままで脆弱であれば、バックドアが作られてしまう可能性があります。

Filesmanによるバックドア

今年の6月、不動産系のWordpressサイトが通称Filesmanによる改ざんを受けました。

先日のwp-info.php同様、サイトのウィルスチェックをパスしてしまう改ざんです。ブラウザが改ざんサイトを「アクセス先のサイトで不正なソフトウェアを検出しました」や「悪意のサイト・・・」のように表示してブロックを掛けるようになりましたが、他のウィルスチェックツールと同じく、どうやらheader.phpやfooter.phpのようにページ表示に関係するファイルをチェックするだけで、Wordpressの全ファイルを見ていないようです。確かに改ざんサイトを見てもウィルスに感染しないのであれば、見る側には問題が無いわけです。

今回の改ざんは、サイト内から無数のスパム（ウイルス）メールが送信させるものでした。ルートにWPにはないcredits.php置かれ、そのソースの始まりは以下です。

 <?php
$auth_pass = "774bb8b3a285083cfa3adc070e14b57f";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
preg_replace

このファイルを置いたハッカーはFTPなどなくてもサイト内を自由に行動できます。よく見るといたるところに改ざんphpファイルが置かれていました。

通常、ハッカーはテーマフォルダーやheader.phpやfooter.phpを改ざんするのですが、これではすぐ気づかれてしまうためか、uploadsフォルダー、imagesフォルダー、プラグインフォルダーのように普段ほとんど見ない場所に改ざんファイルを置いてゆきます。

こうなると、手動で改ざんファイルを削除することは困難です。

サーバー内のデータをすべて削除して、きれいなファイルと置き換える必要があります。

wp-info.phpによるホームページ改ざん（3）

この改ざんは、最終的にサーバー上のファイルを削除し、Wordpress最新バージョンとプラグインををダウンロードして、置き換えることで駆除できました。FTPとWordpressのパスワードは10桁以上の複雑なものにしました。

1ヶ月経ちましたが、改ざんは起こっていません。まだ、Webmastertoolのインデックスは増えたままですが、その内消えると思います。

ふと思うのですが、ウイルスチェックが感知しないのですから、おそらく多くのサイトが知らないうちに感染しているのではとお思います。

wp-info.phpによるホームページ改ざん（2）

この改ざんは、.htaccessに以下の書き込みを行ないます。

# BEGIN SYSTEM API
RewriteEngine on
RewriteBase /
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^ny/(.*)$ ●●●●/wp-info.php?$1 [L]

# END SYSTEM API

削除しても数時間後にはまた書き込まれます。
●●●●のフォルダーは都度変更され、wp-info.phpが育成されます。

この種の改ざんは、ウィルスチェックをパスしてしまうので、Googleのウェブマスターツール（Search console)でチェックする方法をおすすめします。

ウェブマスターツールの コンテンツ キーワードで意図していないキーワードが無いかチェックします。ちなみに、今回の改ざんでは、cialis、viagraがキーワードの上位を独占していました。Googleのクローラーもこれらのキーワードを認識し、改ざんにより育成された大量のページがインデックスされていました。

wp-info.phpによる改ざんで参考にするサイトは殆ど出ていませんが、下記のサイト(英語)がとりあえず参考になりました。

http://wordpress.stackexchange.com/questions/167383/how-to-fight-this-wp-info-php-exploit