5つのWordPressサイトを対象にマルウェア駆除・復旧を実施しました。調査ではlock360.phpを含む複数の不正ファイルを確認したほか、Advanced Custom FieldsやMW WP Formの脆弱性情報に該当するバージョンも確認。ファイルの削除・修正、プラグイン更新、不正インデックスの削除などを行いました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 5サイト |
| 対応時期 | 2024年12月23日～25日 |
| WordPress | 全5サイトで6.7.1を確認 |
| 主な不正ファイル | lock360.php、baxa1.php、index.php、123.php、about.phpなど |
| 確認された脆弱性 | Advanced Custom Fields、MW WP Form |
| 不正インデックス | 全5サイトで登録を確認し削除 |
| プラグイン・テーマ対応 | 複数プラグインを更新、1サイトでLightningテーマを更新 |
調査で確認された内容
5サイトを調査したところ、それぞれで複数の不正ファイルが確認されました。サイト2ではlock360.phpのほか、admin.phpや123.phpなども確認され、対象ファイルの削除または修正を実施しています。
プラグインについては、Advanced Custom FieldsとMW WP Formで公開されている脆弱性情報の対象範囲に該当するバージョンが使用されていました。該当するプラグインを含め、必要なアップデートを実施しました。
また、5サイトすべてで不正インデックスの登録が確認されたため、12月23日から25日にかけて削除対応を行いました。
サイトごとの調査・対応内容
サイト1
複数のPHPファイルなどに対して削除・修正を実施しました。Advanced Custom Fieldsを含むプラグインを更新し、不正インデックスも削除しました。
サイト2
lock360.php、admin.phpなどを含む不正ファイルを確認し、削除・修正しました。Advanced Custom FieldsとMW WP Formを含むプラグイン更新、不正インデックスの削除も実施しています。
サイト3
複数の不正ファイルを確認し、削除・修正を実施しました。MW WP Formを含むプラグインを更新し、不正インデックスにも対応しました。
サイト4
不正ファイルの削除・修正と、MW WP Formを含むプラグインの更新を実施しました。不正インデックスについても削除しています。
サイト5
複数の不正ファイルを削除・修正しました。プラグインの整理に加えてLightningテーマを更新し、不正インデックスの削除も行いました。
確認された不正ファイル
各サイトで削除または修正した不正ファイルは次のとおりです。
| サイト | 削除または修正した不正ファイル |
|---|---|
| サイト1 | .htaccess、123.php、baxa1.php、blurbs.php、about.php、index.php、pCleZmTs.php、2index.php |
| サイト2 | admin.php、baxa1.php、index.php、.htaccess、123.php、about.php、lock360.php |
| サイト3 | baxa1.php、.htaccess、index.php、2.php、zmFM.php |
| サイト4 | .htaccess、baxa1.php、index.php |
| サイト5 | index.php、.htaccess、baxa1.php、file.php、about.php、file2.php |
今回の記事タイトルに使用したlock360.phpは、サイト2の不正改ざん検査で確認されたファイルです。
確認された脆弱性
調査時には、Advanced Custom FieldsとMW WP Formで公開されている脆弱性情報の対象バージョンが使用されていました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Advanced Custom Fields | サイト1：4.4.5、サイト2：5.8.9 | JVNDB-2024-000093。6.3.5およびそれ以前が対象 |
| MW WP Form | サイト2～4：5.0.3 | JVNDB-2024-002769。5.0.6およびそれ以前が対象 |
Advanced Custom Fieldsの脆弱性では、当該製品にログインしている攻撃者と同じ権限を持つユーザーのウェブブラウザ上でスクリプトを実行される可能性が示されています。
MW WP Formについては、情報を取得されたり、情報を改ざんされたりする可能性がある脆弱性が確認されているバージョンに該当していました。
実施したマルウェア駆除・復旧作業
- WordPressサイトの不正改ざん検査
- 不正ファイルの削除・修正
- 脆弱性情報に該当するプラグインの更新
- その他の必要なプラグインの更新
- 未使用・不要プラグインの整理・削除
- WordPressテーマの更新
- 不正インデックスの削除
- WordPress本体のバージョン確認
WordPress・プラグイン・テーマの確認・更新内容
WordPress本体は5サイトとも6.7.1で、バージョン変更は実施していません。
実際に継続利用するプラグインやテーマについて、以下の更新を行いました。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| サイト1：Advanced Custom Fields | 4.4.5 | 6.3.11 |
| サイト1：Classic Editor | 1.6.5 | 1.6.7 |
| サイト1：Contact Form 7 | 5.9.8 | 6.0.2 |
| サイト1：Imsanity | 2.8.4 | 2.8.6 |
| サイト1：WP-PageNavi | 2.94.1 | 2.94.5 |
| サイト1：パスワード保護 | 2.7.3 | 2.7.5 |
| サイト2：Advanced Custom Fields | 5.8.9 | 6.3.11 |
| サイト2：Intuitive Custom Post Order | 3.1.4.1 | 3.1.5.1 |
| サイト2：MW WP Form | 5.0.3 | 5.1.0 |
| サイト2：WP-PageNavi | 2.89.1 | 2.94.5 |
| サイト3：Classic Editor | 1.5 | 1.6.7 |
| サイト3：Contact Form 7 | 5.3.2 | 6.0.2 |
| サイト3：MW WP Form | 5.0.3 | 5.1.0 |
| サイト3：WP-PageNavi | 2.89.1 | 2.94.5 |
| サイト4：Classic Editor | 1.5 | 1.6.7 |
| サイト4：Duplicate Post | 2.6 | 4.5 |
| サイト4：MW WP Form | 5.0.3 | 5.1.0 |
| サイト4：WP-PageNavi | 2.89.1 | 2.94.5 |
| サイト5：Lightning | 14.11.4 | 15.29.0 |
不正インデックスへの対応
5サイトすべてで不正インデックスの登録が確認されました。
12月23日から25日にかけて確認と対応を行い、登録されていた不正インデックスを削除しました。
対応結果
5つのWordPressサイトについて、不正改ざん検査を行い、確認された不正ファイルの削除・修正と不正インデックスへの対応を実施しました。
あわせて、脆弱性情報の対象となっていたプラグインや更新が必要なプラグイン、テーマについてアップデートを行い、サイトごとに必要なマルウェア駆除・復旧作業を実施しました。
再発防止について
WordPressでは、本体だけでなくプラグインやテーマも継続的に更新し、既知の脆弱性を放置しないことが重要です。
定期的なバックアップやマルウェア検査を行うとともに、長期間更新されていないプラグインについては、継続利用の必要性や代替手段を確認することもセキュリティ対策につながります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざん復旧、不正ファイルの調査、不正リダイレクトや不正インデックスへの対応、復旧後のセキュリティ対策などを行っています。
複数のWordPressサイトで不審なファイルや改ざんが見つかった場合にも、サイトごとの状態を確認したうえで必要な駆除・復旧作業を進めます。