WORDPRESSのマルウェア対策

2018/07/19 2019/12/23
タグ: WORDPRESS, マルウェア対策

WORDPRESSはCMS界の中ではユーザ数が最も多いオープンソースパッケージですが、オープンソースであるがゆえに、悪い人たち(クラッカー)に研究されてマルウェアを混入されてしまう危険性も高いのが難点。サイトを構築する段階から注意を払って作成すれば問題はないのですが、感染した後だと困難が待ち受けているのも事実です。

WORDPRESSの感染をチェックする方法

• 使用しているテーマのテーマフォルダ内にあるphpやjavascriptファイルでタイムスタンプが怪しいものを見つける。

• ファイルサイズが変わっている？あるいは増えていると思うものを開いてコードをチェックする。感染コードは見ればすぐに分かります。
• セキュリティプラグインを導入してマルウェアの検出。５０％から７０％位は検出可能です。ドキュメントルート、WORDPRESSシステム配下のチェックは概ねプラグインソフトは弱いです。
• uploadsフォルダー配下にphpファイルが存在しないかチェックする。
• テーマ感染は既存ファイルに感染しているのがほとんど。新規ファイルのケースは少ない。
• ドキュメントルート直下、システムフォルダ（wp-admin,wp-includes）は既存ファイルよりも新規ファイルで感染ファイルを置くケースが多い。

• ドキュメントルート直下、システムフォルダで既存ファイルが感染している場合はワンランク上の感染と思ったほうが良い。つまりプラグイン程度で見つけたり駆除できない

• pluginsフォルダー内の感染は元々プラグイン自体に仕込まれている事が多い。

セキュリティプラグインで合格だったから大丈夫と思わないほうが良いです。私は高度な感染を検知できるプラグインは未だに見たことありません。

ハイレベルなマルウェア感染

高次元の感染はタイムスタンプを過去の日付時間にする場合があり、感染がドキュメントルート全体に及ぶこともあります。つまりドキュメントルート直下、wp-admin,wp-includesあたりを改ざんする手口をやっているクラッカーはそこそこ詳しい人がやっているケースが多く簡単には見つからない手法で感染させているケースがあります。

手口と対処

• 感染中継ファイルの拡張子を任意のイメージファイル拡張子に変えて設置
• 改竄したファイルのタイムスタンプを書き換えている。周りのファイルのタイムスタンプとかけ離れているものは怪しい。
• 感染中継ファイルで圧倒的に多いのは/wp-content/uploadsの配下に設置されている。
• ドキュメントルート、wp-admin,wp-includes配下の感染は例えばサイトからWindowsにファイルをコピーして持ってきた上でWindows Defenderでスキャンしても見つけられる場合が結構ある。
• ドキュメントルート、wp-admin,wp-includes配下の感染は有料ウィルススキャンソフトでWindowsにファイルをコピーして持ってきた上でスキャン実施すると高い検知率で発見、駆除ができる。
• ドキュメントルート、wp-admin,wp-includes配下の感染はphp専用のマルウェアスキャナーで更にスキャンするとほぼ完璧に近いレベルで発見、駆除ができる。

予防策、防御策

• ディレクトリレベルでmd5でハッシュ値を取り、コンテンツ更新する度にハッシュ値の更新を取る。
• 毎日、定時間にバッチを走らせ前回のハッシュ値と現在のハッシュ値に相違があるか調べる。相違があった場合は感染の疑いあり。
• 総合セキュリティプラグインの導入。最初から導入すると効果が抜群です。
• 編集者はできるだけ固定IPで管理画面へのアクセスを縛ること。