検証WordPressがマルウエア・ウィルスに感染してソース部分をセキュリティソフトで検証しても、ウィルスが発見されないケースがあります。マルウエアは通常のスクリプトなので、結局、目視で削除(1,000ページ超え)しました。その後、WordPressに対策をしてアタック状況を継続してチェック(記録をとる)しました。一度、ハッキングされると、セキュリティが緩いサイトして認識され、ブラックマーケットでドメイン、アクセスURL、IDとパスワードが、販売されたりするのでしょう!驚くほどの大量のアタック発生します。Downを設定(解除までの時間も6時間とかにしました。通常は60分です)、管理画面へのログインURLを変更。アクションが必須です。functionality.(ざっくり訳すと)セキュリティ研究者は、WordPress管理者がXML-RPCインフラストラクチャを使用していることに起因する検索エンジンスパムキャンペーンを発見しました。Webサイトのルートディレクトリに悪意のあるファイルを挿入します。セキュリティ会社のブログ投稿によると、攻撃はコードインジェクションを使用してバックドアスクリプトでサイトに感染します。XML-RPCインターフェースのスペルミスである「xm1rpc.php」ファイル名を活用して、オープンソースツールで構築されたWebサイトを挿入します。API機能を有効にします。(ざっくり訳ここまで)こんな感じで、以下と同じ問題が発生して対処している。これらのウィルス(?)マルウエア(?)は、DDoS攻撃とbruteforce攻撃だそうです。検索してみました(当時)が日本での検証例はなく、特異な症例だったのかも知れません。)htaccessに、以下の記述が追加される。[L]</IfModule>index.php(第一階層にある)に以下の記述が追記される。この改行やスペース間もそのままにしています。?>----上記のスペースですが、エディタで開いて、右側で折り返す設定をしないと表示されないためかと思います。いうファイルが生成される。(似たファイル名のxmlrpc.phpというファイルはWordPressに存在している。いったファイルが生成される。ファイル名はすべてユニーク、独自ということです。サーバ内検索しても見つけられないのです。プラグインのphpファイル全てに、以下のような記述が追記されます。___bdec('PD9waHAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgIC(まだ続きます)-----これらを継続して削除しても、しばらくすると生成や追記されている。)WordPressでの発生だったので、wp-adminとwp-includesをまっさらな最新ファイルに置き換え。問題が想定されるのでファイル全てを削除の後、最新ファイルをアップロード。ポイントは、いったん削除の後、正規のシステムファイルをアップロードする。プラグインを全てftpで削除→新規にインストール。問題の1.2.の中の記述を、wp-content内でgrepしました。同様に問題3.のファイル名もgrepしてみました。)が何でも外部コマンドを実行するそうなので、wp-content内をgrepしてみた。参考にしたのは、https://dogmap.jp/2016/05/10/post-3258/wp-admin、wp-includesにも何か書き換えやファイルの追加が発生している事もかんがえられるので、オリジナルとの相違をチェックしました。(新規インストールしてますが安全の為と何か解決の手がかりが見つかるのでは?と考えて)使用したツールは、WinMergehttp://www.geocities.co.jp/SiliconValley-SanJose/8165/winmerge.htmlこらです。フォルダ全体でチェックが可能でした。xm1rpc.phpファイルのパーミッションを000にする事で、これ以上ファイルが生成されないのでは?ログイン関係一式を新しく、しかも定期的にパスワード変更→チームで共有。)上記実施3.4.は、見つからず。実施5.は、以下のファイルの追加と書き換えがありました。ファイル追加:wp-includes/index.phpファイル書き換え:wp-includes/load.php対応)追加されたファイルは削除、書き換えられたファイルは、オリジナルに書き換え。5.をさらに、themeにもおこないました。header.phpが書き換えられていました。このファイルにはトロイの木馬ウィルス反応がありました。(PCで使用しているセキュリティソフトで)対応)オリジナルに書き換え。実施6.は、パーミッションが、しばらくすると戻ってしまいました。Boneでの不正と思われるアクセスログが現象しているのに問題が継続したので)uploadされている画像にもウィルスが記述されるている可能性がある。ユーザーさんには、管理方法の提案やウィルスソフトの使用とマシンスキャンなどの提案。いった内容を提案しました。WordPres管理画面から、プラグインを含むファイルの追加や書き換えをできない設定にした。header.phpとfooter.phpのパーミッションを400に変更。アップロードされた画像ファイル(膨大にありました1万ファイルくらいはあったかな)の撮影情報の記述を消滅させる事で安全化できるらしいので、実行しました。撮影情報の削除には、ファイル型式の変更でいけるようでしたので、jpg→png(32bit)に変換して、これをさらにjpgにもどす。pngは一端jpg(高解像度)にして、そのjpg→pngに、gifも同様の作業。※)このpngを32bitにしているのは、jpgの持つ写真のグラデーションを失わないため。追加対応)wp-adminにbasic認証。ログインにLockDown以外にCaptchaを設定。これで現状は、48時間(この文章を書いている時点)、怪しいファイルの生成や書き換えは発生していない。(追記:既に10日ほど問題なし)しかし、こう書いてみると短く簡単に思われるかと思いますが、仮説→検証は、10回くらいしたような、つまり仮説→検証で、結果がでない、イコール仮説がだめ。そもそも上記の生成されるspamファイル名や内部の記述でネット検索しても、まず情報はなく、ここに至るまで、相当の時間がかかりました。(つまり、新しい事例なのか?)「さらに仮説の3.」は、未実施。)管理画面からのファイルとpluginの書き換えを禁止したら、敵さんからのアクションが停止しました。したら、Pluginを含む管理画面から編集可能なファイルにバックドアをしかける。その上で、wp-adminやwp-includesにファイルを追加したり追記して増殖を図り、そこから、外部のサイトへのアタックだったのでしょうか?(あくまで推察)やはり、ログインIDとパスワードの管理ですね。簡単なパスワードを使い回したりするのはよくないです。仮に、定期的に変更していても、過去に使用していたパスワードですと、簡単にログインされてしまうのではとも感じました。spamアタックでトライするログインIDが過去に設定していたIDになるケースが多かったので、どこかネットの闇市場で、IDと想定されるパスワードが出回ったのかもしれません。BlackList設定して特定のIPからの管理画面へのアクセスを遮断すると、敵さんは、IPアドレスを毎回変更してきました。そこで、*(アスタリスク)にして、IPアドレスのレンジを広げることにしました。すると、末尾のブロックの1から255までのレンジでプロテクトができます。自分は、大丈夫、つまり、自分のPCやMacはウィルスに感染していないという過信がよくないようにも感じました。弊社のお客さんで、マシンが不調になったので、マイクロソフトにリモートでチェックをお願いしましたところ140を超えるウィルスが検出されたそうです。その会社さん、セキュリティソフトは入れていた様ですが、こういった結果になってしまいました。)そもそも、ウィルスは、日々世界中で、開発されていて日々世界に流れ出しています。継続して行っている訳です。これは、高額なセキュリティソフトも、フリーのソフトも同じです。言うと、必ず言われるのが「だったら、フリーので充分じゃない」。何が違うのかというとスピードなのです。タイムラインで考えてみてください。新種のウィルスが発生した。その日のうちに対応(対応パッチを適応)した、というセキュリティソフトの会社と、一ヶ月後に対策対応したセキュリティ会社さん。前者のスタイルでないと困ります。対策されるまでに、大量ウィルスが飛散され問題が顕在化する恐れがありますし、またウィルスによって、サイトの攻撃とかも想定されます。前者が有料で優秀なセキュリティソフトで、後者はフリーのセキュリティソフトだったりします。そこに価格の差があるのですが、両者とも、ウィルス検出率としては、90%(数字は自信がありません)とか公表したりします。これは一か月後の検出力なのです。ウィルスやマルウエア発生、直後の検出率ではないのです。ウィルスやマルウエアが流布した、即、対応してプロテクトされる、これが理想です。一か月後にプロテクトできても拡散している可能性が高い、ということなのです。Webサポート」を始めました。