Wordpressの複数ファイルが勝手に書き換えられてアクセスできなくなる

Question

昨日質問をしたものです。
https://teratail.com/questions/164234

サイトの編集を一切していないにも関わらず、また同じ現象が起きました。
前回はパーミッションを変更したときになりましたが、今回は何もしていません。

ファイルを見てみると朝の6時くらいに複数のファイルが更新されています。

サイトにアクセスするとこのような画面になります。

書き換わってるファイルは全てeval(gz...のようなコードになっています。

前回はWordpressを削除し、再インストールで元通りになりましたが、またすぐに同じ現象が起きるのではないかと思ってしまいます。

原因と対処方法は何かありますでしょうか。宜しくお願いします。

Comments

[yoorwm]

朝の6時という時間にご自身がアクセスした覚えが無いのでしたら、その時間帯のアクセスログを調べてみる事は出来ないでしょうか？

[ministop]

アクセスログを初めて見たので見方がわからないですが、下記のようなものが現在も続いています。これは他者からアクセスされているということですか？

○○.com 184.75.221.195 - - [17/Dec/2018:03:41:00 +0900] "GET /wp-login.php HTTP/1.1" 403 2875 "-" "Mozilla/5.0 (Windows NT 5.1; rv:29.0) Gecko/20100101 Firefox/29.0"
○○.com 184.75.221.195 - - [17/Dec/2018:03:41:00 +0900] "POST /wp-login.php HTTP/1.1" 403 2551 "-" "Mozilla/5.0 (Windows NT 5.1; rv:29.0) Gecko/20100101 Firefox/29.0"

大事なこと言ってなかったのですが、昨日ファイルをバックアップしており、それも同時間(朝の6時頃)にファイルが書き換えられていました。もちろん触っていません。

[papinianus]

コードがクラッキングですよね。id/pwとかが割り出されているのでは？

[ockeghem]

使っていたソフトウェア（OS、PHP、WordPress、プラグイン、その他）の名称とバージョンがわかれば教えてください

[ministop]

OS X Yosemite
PHP7.2.6
WordPress 5.0.1
プラグインデフォルト
レンタルサーバー xserver
Mysql5.7
です。

とりあえず再構築して繋がるようになりました。

Answer 1

WordPress のバージョンとか PHP のバージョンとかわかりませんが...

WordPress サイトが、乗っ取られていて、改変されているということはないでしょうか？
添付画像のコードで検索すると... マルウェア感染とかサイト改ざんとか色々出てくるのですが...

• WordPressブログにRFI攻撃！？PHPファイルへの eval(base64_decode()) 埋め込みによる改ざんと対処方法
• PHP eval base64_decode 攻撃とその対処方法Add Star
• マルウェアとは何か〜WordPressに設置されていたマルウェアを解析してみた結果、恐ろしいソフトがでてきた〜

全てのパスワードを変更して、すべてのWebコンテンツ(データベース内のデータも含む)やファイルを(必要ならローカルディスクにバックアップした上で)サーバーから全て削除して、再インストール＋再構築。（再構築の際は、バックドアが設置されている可能性があるので、サーバー上にあったファイルは一切使わないようにしてください。 ）

可能であれば、サーバーの再構築から始めた方が良いような気がします。

Comments

[ministop]

回答ありがとうございます。

どちらも最新バージョンになってたかと思います。
先週アップしたばかりのサイトで同じことが二度あったので再構築をしてもまた同じ現象が起きるのかなと思ってしまいます。パスワードは自動生成で難しいものにしていましたがidはadminにしていました。
同じサーバーに置いてある他サイト達は特に変わりはありません。

とりあえず再構築をしてセキュリティの強化をしてみようと思います。

[退会済みユーザー]

再構築をしないとバックドアが削除できないんだが

Answer 2

WordPressブログにRFI攻撃！？PHPファイルへの eval(base64_decode()) 埋め込みによる改ざんと対処方法 – Time to live forever

WordPressもしくはデータベースもしくはレンタルサーバーの管理者権限ユーザーのパスワードが破られ、
攻撃を加えられている状態です。
そのままの状態を放置すると、改ざんされたWordPressを踏み台に
さらに他のサイトに迷惑をかける事になります。

レンタルサーバー上のコンテンツはすべて信用できない状態なので、
WordPress削除、データベース削除、管理者アカウントの再作成などを伴う
再構築再インストールが必要だと思います。

影響範囲を調べる前に、早くコンテンツをすべて潰すべきです。
パスワードを破られたら、昨日今日の構築だろうとすぐ潰すしかありません。

って、ほぼほぼCHERRYさんらと同じ意見です。

破られないために、
ユーザーidにuserとかadminとかいう、ありきたりなものを使わないこと、
パスワード文字列を許容できる限り長くすること（12文字でも16文字でもあるいはもっと）、
が求められます。
パスワード8文字なんて1分で解析！安全に使うには何桁がベスト？結果発表 | Purple Life

Comments

[ministop]

みなさんご回答ありがとうございます。
やはり危ない状態だったのですね。すぐに全て再構築します。
本当にありがとうございました。

Answer 3

何度も見た典型的な改ざん被害なので対策しないと再発する。
原因の95%は不正ログイン成功されるような簡単なパスワード使ってる人間のせい。
残りはWPやプラグインの脆弱性。

一度被害に合うとここは攻撃できると判断されてどんどん攻撃されるので半端な対策では防げない。

・複雑なパスワードに変更
・WPやプラグインは常に最新バージョン使う。つい最近も旧バージョンほとんどに影響する脆弱性見つかってる。
https://ja.wordpress.org/2018/12/16/wordpress-5-0-1-security-release/
・ログインURLを変更
・二要素認証
・ログインイベントなどをログに残し不正にログインされてないか監視。

Answer 4

PCに何か仕込まれている可能性から疑ってみましょう