WordPressサイト改竄対応２

今回相談を受けたケースは、サイト上には全く変更が見られず、しかも前回同様に検索エンジンから飛んで来た人だけに発動するプログラムが埋め込まれていたので、発見が遅くなったというものでした。

しかも、前回対応したサイトの制作会社とは違い、割とまともな会社さんが運営していたにも関わらず、ハッキングされています。

WordPressの管理者IDもadminではなく他のものに変え、パスワードも分かりにくい半角英数8文字です。ただし、大文字、小文字の混在にはなっていませんでした。

侵入者は/wp-login のURLに対して、ログイン試行プログラムがアクセスして、試みようとします。

ブラウザで開いて、１回１回パスワードを試してなんてことはしません。毎秒数10〜数100どころでない頻度で解析を試みます。あまり沢山アタックするとサーバが落ちてしまうので、相手に応じて程よい頻度でアタックしてくると思います。


＜対応内容＞

で、今回もですが前回同様にサイトのファイル全件に対して検索して、埋め込まれたテキストを取り除こうとしました。が、２年前とは違い、BASE64の暗号化しただけではなく、別のプログラムと連携して、１文字１文字別の文字に置き換わっていました。しかもその文字置き換えのアルゴリズムがファイル毎に異なる。
ということで、一括削除という処理が難しかったので、対応をあきらめました。

こちらのお客様はバックアップがあったので、そこからのリカバリを行い、

・各種ウィルス対策サービス会社の危険URLリストからの除外依頼
・Google Search Consoleでの警告除去、再承認処理

といった事後対応を行いました。