ハッキングされたワードプレスを治したい

Question

最新バージョンのWPに自動更新していますが、いつからか勝手にad2up.com/afu.php というサイトにリダイレクトされるようになってしまいました。

怪しいフォルダが多数あったので削除し、色々とPHPファイルをチェックし、改ざんされていそうな部分は削除し、プラグイン類やコアファルは全て上書きしましたが、リダイレクトされてしまいます。

あとはどこが改ざんされているかがわかりません。
どうしたらよいのでしょうか。

Comments

[退会済みユーザー]

自動更新は危険ですよ。ミラーサイトがハッキングされていたら自動改竄されますから

Answer 1

今回どのような形でコンテンツ改ざんに至ったのか、手法や経路が特定できていないと推察します。
であれば尚更なのですが、事前に(イメージ)バックアップを取った上でOSごと作り直したほうがよいです。
何をされたのか正確にわからない以上、改ざんされたのがWPのコンテンツだけと判断する根拠は何もないと考えるべきです。
改竄行為が1回だけで、WPの脆弱性を狙い打ちにしたものと決め付けることはできません。

WPのコンテンツに話を限ったとしても、現状「色々やってみたけど現状治っていない」との事ですが、仮に復旧したように見えていてもどこに何があるか信用しきれない状態と言えます。

ただし再構築と言っても、最初の構築と全く同じ手順では無意味です。
それだと今回のコンテンツ改竄の原因となった脆弱性も作り込む事になります。
そこで必要なのが冒頭書いたバックアップで、ログやコンテンツを分析しなぜ改竄されたのかを特定し、同じ改竄をされないように作りこむ必要があります。
でないと再構築したとしてもまた改竄される可能性が高いです。

Comments

[ynakano]

補足ですが、もしサーバがホスティング等で管理者がいる場合は事象について速やかに報告すべきです。
恥ずかしいと思うかもしれませんが、実は基盤側の設定が管理者の意図通りでなかったり、また他のユーザでも同様の事象が発生していた、などという事も分かるかもしれません。
他にも被害拡大抑止の手を打ってくれる事もあるかもしれません。

Answer 2

インストール型の WordPress （レンタルサーバーへインストールするタイプの WordPress）の利用を止めましょう！管理できないものを使用し続けるのは危険過ぎます。

WordPress.com というレンタル型の WordPress がありますので、これを利用しましょう。ランニングコストは非常にリーズナブルですよ。