ワードプレス消してもすぐに復活するindex.phpのマルウェアの駆除

ワードプレスドクターでのマルウェア駆除依頼事例にて消しても1秒以下で復活するindex.phpに寄生するタイプのマルウェアの対処方法について解説いたします。

なぜマルウェアがすぐに復活する？

すぐにマルウェアが復活する原因は、いくつか考えられます。

１　バックドアがサイト上のどこかに存在し、ハッカーがそのバックドア経由で再びマルウェアを書き込んでいる

２　サーバーそのものがハッキングされPHPではないサーバーレベルのソフトウェアが再びマルウェアを書き込んでいる

ただ、今回の事例では上記も可能性もあるものの、共有レンタルサーバーであること→２　である場合レンタルサーバーの全サイトが改ざんされるためそこまで危険な事例である可能性は低い、１だとあまりに早くマルウェアが復活するため、人為的に再改ざんしているとは考えにくい、と弊社では考えました。

Index.phpに感染するすぐに復活するマルウェアのコードの例

$O00OO0=base64_decode("ランダムな文字列が続く");$O00O0O=$O00OO0{3}.$O00OO0{6}.$O00OO0{33}.$O00OO0{30};$O0OO00=$O00OO0{33}.$O00OO0{10}.$O00OO0{24}.$O00OO0{10}.$O00OO0{24};$OO0O00=$O0OO00{0}.$O00OO0{18}.$O00OO0{3}.$O0OO00{0}.$O0OO00{1}.$O00OO0{24};$OO0000=$O00OO0{7}.$O00OO0{13};$O00O0O.=$O00OO0{22}.$O00OO0{36}.$O00OO0{29}.$O00OO0{26}.$O00OO0{30}.$O00OO0{32}.$O00OO0{35}.$O00OO0{26}.$O00OO0{30};eval($O00O0O(
....

ゆえに、すぐに再改ざんが発生するマルウェアは下記のような動作をする可能性も考えられます。

３　マルウェアそのものが、アクセスされるたびに再改ざんのプログラムを自己復元的に実施する

このプログラムの実行が、常にサーバーのプロセスにたまっていて、改ざん部分を取り除いても、たまっているプロセスが実行されて再改ざんがすぐに起こると考えると高速で再改ざんされる理由がわかります。