3つのWordPressサイトでマルウェア駆除・復旧作業を実施しました。調査ではMicrosoft Clarityなどのプラグインに関する脆弱性情報を確認し、更新を実施しました。また、サーバー上に残存した不正cronによってマルウェアが再実行され、大量の不正ファイルが生成される事象も発生しました。不正ファイルの削除・修正に加え、不正タスク・不正プロセスの除去、不正インデックスへの対応を行いました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 3サイト |
| 対応時期 | 2025年11月11日～16日 |
| WordPress | 3サイトともバージョン6.8.3 |
| 主な問題 | 不正ファイルの生成、不正cronによるマルウェアの再実行 |
| 不正ファイル | PHPファイル、.htaccessなど |
| 確認された脆弱性情報 | Microsoft Clarity、VK All in One Expansion Unit |
| 不正タスク・プロセス | SSHによる調査・除去 |
| プラグイン・テーマ対応 | Microsoft Clarityなどのプラグイン更新、Lightningテーマの更新 |
| 不正インデックス | 2サイトで確認し、削除申請を実施 |
調査で確認された内容
3つのWordPressサイトで不正改ざん検査を実施したところ、複数のPHPファイルや多数の.htaccessが削除・修正の対象となりました。
サイトAでは、サーバー側で不正ファイルが無効化された後、不正タスク（cron）によってマルウェアが再実行され、不正ファイルが大量に生成される事象が発生しました。
また、調査時にはMicrosoft ClarityとVK All in One Expansion Unitに関する脆弱性情報を確認しました。
今回の対応では、不正ファイルの削除・修正だけでなく、再発に関係する不正タスク・不正プロセスの除去、プラグイン・テーマの更新、不正インデックスへの対応を実施しました。
サイトごとの調査・対応内容
サイトA
サイトAでは、9月14日にXserverによって不正ファイルが無効化されました。
その後、11月11日に不正タスクによってマルウェアが再実行され、不正ファイルが大量に生成されました。
この不正タスクは通常のファイルマネージャーからは確認できず、SSHで直接コマンドを実行して調査する必要があるものでした。
11月12日に不正タスクを除去しましたが、一部の不正ファイルが残存しており、マルウェアが再び実行されました。
11月13日には、不正ファイル・不正タスク・不正プロセスをすべて削除し、マルウェアの実行が終息したことを確認しました。
あわせて、プラグインとテーマの更新を実施しました。
サイトB
サイトBでは、PHPファイルや.htaccessの不正改ざんを確認し、対象ファイルの削除・修正を実施しました。
また、Microsoft Clarityなどのプラグインを更新しました。
サイトC
サイトCでもPHPファイルや.htaccessの不正改ざんを確認し、対象ファイルの削除・修正を実施しました。
WordPress本体とプラグインのバージョンを確認し、必要なプラグインの整理を行いました。
確認された不正ファイル
各サイトの不正改ざん検査では、以下のファイルを削除または修正しました。
| サイト | 削除・修正した不正ファイル |
|---|---|
| サイトA | .htaccess（2,041ファイル）、abcd.php、about.php、content.php、header.php、index.php、mhaila-zero.php、radio.php、wp-confiq.php、UbpNQ.php |
| サイトB | .htaccess（691ファイル）、kIiqqgd.php |
| サイトC | .htaccess（121ファイル）、JYezhxlu.php |
サイトAでは、header.phpやindex.phpなどWordPressサイトで使用される一般的なファイル名に加え、wp-confiq.phpやUbpNQ.phpなどのファイルも削除・修正の対象となりました。
また、3サイトすべてで多数の.htaccessが削除・修正の対象となっています。
確認された脆弱性
調査時には、Microsoft ClarityとVK All in One Expansion Unitに関する脆弱性情報を確認しました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Microsoft Clarity（サイトA） | 0.10.4 | JVNDB-2024-019765の脆弱性情報を確認 |
| Microsoft Clarity（サイトB） | 0.9.3 | JVNDB-2024-019765の脆弱性情報を確認 |
| VK All in One Expansion Unit（サイトA） | 9.110.1.1 | JVNDB-2024-022008の脆弱性情報を確認 |
Microsoft Clarity
Microsoft Clarityは、サイトAとサイトBの両方に導入されていました。
調査では、情報の取得や改ざんに関する脆弱性情報を確認しました。
脆弱性情報の参照先：
VK All in One Expansion Unit
サイトAでは、VK All in One Expansion Unitについても脆弱性情報を確認しました。
脆弱性情報の参照先：
なお、これらの脆弱性情報の確認は、今回のマルウェア感染における侵入経路を特定したことを意味するものではありません。
実施したマルウェア駆除・復旧作業
今回の案件では、以下の作業を実施しました。
- 3サイトの不正改ざん検査
- 不正PHPファイルの削除・修正
- 改ざんされた.htaccessの削除・修正
- SSHによる不正タスク（cron）の調査・除去
- 不正プロセスの除去
- マルウェア再実行後の残存ファイルの確認・削除
- WordPress本体・プラグイン・テーマのバージョン確認
- プラグイン・テーマのアップデート
- 未使用・不要プラグインの整理・削除
- 不正インデックスの確認と削除申請
WordPress・プラグイン・テーマの確認・更新内容
3サイトともWordPress本体はバージョン6.8.3で、バージョン変更は実施していません。
プラグインとテーマについては、サイトごとに以下の更新を実施しました。
サイトA
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Akismet Anti-Spam | 5 | 5.5 |
| Contact Form 7 | 6.1 | 6.1.3 |
| Custom Post Type Permalinks | 3.4.5 | 3.5.3 |
| HubSpot All-In-One Marketing | 11.3.16 | 11.3.21 |
| Microsoft Clarity | 0.10.4 | 0.10.8 |
| Show Current Template | 0.4.6 | 0.5.3 |
| TypeSquare Webfonts for エックスサーバー | 1.2.4 | 2.0.8 |
| VK All in One Expansion Unit | 9.110.1.1 | 9.112.3.0 |
| VK Blocks | 1.110.0.1 | 1.114.2.1 |
| Xserver Migrator | 1.6.1 | 1.6.6 |
| Yoast SEO | 25.5 | 26.3 |
| Lightning（テーマ） | 14.23.2 | 15.32.1 |
VK All in One Expansion Unitは11月13日に更新しました。その他の上記プラグインとLightningテーマは11月11日に更新しています。
サイトB
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Akismet Anti-Spam | 5.1 | 5.6 |
| Microsoft Clarity | 0.9.3 | 0.10.8 |
| Redirection | 5.3.10 | 5.5.2 |
| TypeSquare Webfonts for エックスサーバー | 1.2.1 | 2.0.8 |
| Yoast SEO | 20.8 | 26.3 |
Akismet Anti-Spamは11月13日に更新し、その他の上記プラグインは11月11日に更新しました。
サイトC
サイトCでは、WordPress本体およびプラグインのバージョン変更は実施していません。
不正インデックスへの対応
サイトAとサイトBでは、検索エンジンへの不正インデックスの登録を確認しました。
両サイトについて、11月13日～16日に不正インデックスの削除申請を実施し、申請を完了しました。
サイトCでは、不正インデックスの登録は確認されませんでした。
対応結果
3つのWordPressサイトで不正改ざん箇所の削除・修正を実施しました。
サイトAでは、不正ファイルの削除だけでなく、不正タスクと不正プロセスの除去まで実施し、11月13日にマルウェアの実行が終息したことを確認しました。
また、各サイトで必要なプラグイン・テーマの更新を実施し、不正インデックスが確認された2サイトについては削除申請を完了しました。
再発防止について
WordPressのマルウェア駆除では、不正ファイルを削除した後も、cronなどの不正タスクや不正プロセスが残っていないか確認することが重要です。
不正タスクが残存している場合、削除したファイルが再び生成されることがあります。ファイルの検査だけでなく、サーバー上で実行されているタスクやプロセスの確認も必要です。
また、WordPress本体・プラグイン・テーマの定期的な更新、脆弱性情報の確認、バックアップの取得、マルウェア検査を継続することも重要です。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざんの復旧、不正ファイルの調査・削除、プラグインの脆弱性確認、復旧後のセキュリティ対策を行っています。
不正ファイルを削除してもマルウェア感染が繰り返される場合には、cronなどの不正タスクや不正プロセスを含め、サーバー上の状況を確認することが重要です。
不正リダイレクトや不正インデックスへの対応、複数のWordPressサイトが感染した場合の調査・復旧についても、サイトごとの状況を確認したうえで対応を進めます。