ワードプレスサイトのリンククリックを乗っ取るクリックジャック

ワードプレスサイトが突然、リンククリックすると一定確率で別のサイトに飛ばされる、リンクが機能しない、新しいウィンドウが開いて広告が表示されるなどのマルウェア被害が増えています。
このクリックジャックと呼ばれるタイプのマルウェアについて解説いたします。

マルウェアの一種　クリックジャック

このタイプのマルウェアは、リンククリックを乗っ取って、リンククリックすると一定確率で別のサイトに飛ばしたり、透明にして重ねた動画の再生ボタンやSNSのいいねボタンを押させてリンクを無効化したり、新しいウィンドウやタブが開いてゲームサイトや、ウィルス駆除ソフト等の広告が表示します。

サイトのリンクを乗っ取ることをクリックジャックと言います。

一定確率でしか(稀にしか)この症状が出ない場合は、ユーザーのブラウザーのクッキーという一時保存の仕組みを利用して、一定期間発動しないようになっています。

また、クリックジャックは、ＪＡＶＡＳＣＲＩＰＴというブラウザーの処理プログラムをサイトのどこかに埋め込まないと実現できないため、サイトが侵入されて改ざんをされているという事になります。

JAVASCRIPTコードが、サイトのheader.php,index.php,等必ず実行されるファイルから実行されるように埋め込まれます。

リンククリックイベントを乗っ取るコードの例

jQuey(document).on("click", "a", function()

Facebookのいいねが透明のIframeで不正に埋め込まれるコードの例

<style>
iframe {
opacity: 0;　←Iframeが透明化されます。
}
</style>
<iframe src="facebook.html"></iframe>←不正に埋め込まれたIframeです。

また、このタイプのマルウェアはすべてのページで実行されることが多いため、すべてのウェブページで実行されるテーマファイルのどこかに不正な埋め込みコードがないか調べます。

良く改ざんされるテーマファイルの例は下記となっております。

header.php
footer.php
single.php
singler.php
page.php
index.php
functions.php