CGさま
お時間ありましたらご教示ください。
１．アクセスログの参照とは、『 SiteGuard WP Plugin Page 』のログイン履歴で分かるものでしょうか？
２．本日『 WP-Doctor Malware Scanner & Security Pro 』というプラグインを導入しスキャンしましたが「 このサイトにマルウェアは見つかりませんでした」と表示されました。この件について何かご意見があればお願いします。
３．素人なもので「バックアップを取ったものを新しい箱に移し替えても、すでにマルウェイに支配されていたら新しい箱でも同じ状態になるのでは？」と考えてしまいます。ウィルスごと移転するのでは？という疑問です。新しく移転すればウィルスは置き去り？にされ、新しい箱（サイト）はクリーンになるのでしょうか？
素人の疑問でお恥ずかしいのですが、教えて頂ければ幸いです。
どうぞよろしくお願い致します。
CG
(@du-bist-der-lenz)
「本当に正しくバックアップできているのか？」という不安から二の足踏んでしまうというのは、わかりません。正しくバックアップできているかは、試せばいいだけです。バックアップできていると思っても、正しく復元できなければ意味無いですからね。それに今回の事象の場合だと、その復元したサイトで暫く様子見たら良いでしょう。それで、「ゴミ箱行き」が起こらなければ、ちょっと前進というところ。どこに、マルウェアが仕組まれているかわかりません。そのまま復元しても、起こるときは起こります。
不明の誰かが私のアカウントを使って何かをするとすればどんな事が有り得ますか？
「プレゼン工房のブログ」のアカウントで好き勝手された場合、サイトを見た人にマルウェアを仕込んだり、悪意のあるサイトへリダイレクトさせたり、いろいろあるんじゃないですか？ブラックリストに掲載されたらホームページそのもの(htmlのページも含め)ブラウザが真っ赤になって表示出来なくなるかもしれません。
また、顧客失うかもしれないし、信用落ちるかもしれないし、そんな個人の事情に関する影響までは私にはわかりません。
マルウェアが見つかりません
Googleのスキャナでマルウェアが検出されませんでした
サイトはブラックリストに載っていません
9ブラックリストが確認されました
こんなふうにでました。
（google翻訳してます）
CG
(@du-bist-der-lenz)
お名前.com の共用サーバーを利用していて、ワードプレスをビルドしたのがバージョン3.5の時にJetpackと同時インストールしたことが、「wordpress-3.5-ja-jetpack-undernavicontrol」に読めますが違いますか。
そして割愛した**にはIDがあるわけです。
「ブラウザハイジャック」などと呼ばれているコードインジェクション攻撃を受けていたということでしょう。サーバーを踏み台にしてマルウェアの拡散に加担しているので、サイトを閲覧してもらって相談するよう行為のないことを願います。
「favicon_893e05.ico をテキストエディタで開くと中身はPHPファイルだった。」だったことからもサーバーが支配下になっていることが明らかでしょう。
ご回答いただきありがとうございます。
取り急ぎexpect.phpは削除いたしました。
また教えていただいた先でサイト調べて見ました結果は以下です。
ーーーーーーーーーーーーーーーー
SiteCheck Results
Status: No Malware Detected by External Scan. Additional Actions Recommended!
Web Trust: Not Currently Blacklisted (10 Blacklists Checked)
Scan Result Severity Recommendation
Malware Not Detected Low Risk
Website Blacklisting Not Detected Low Risk
Injected SPAM Not Detected Low Risk
Defacements Not Detected Low Risk
Website Firewall Not Found Medium Risk
ーーーーーーーーーーーーーーーー
List of Links Found
/?page_id=211&uscesid=MDJoMzVvNmY0OTFoMjRvNTZnOHBuMXY1NDRqN2gyMHY5M2N2NmIwXzE2Mi4yMTYuMTkuMTgzXzBfQQ%3D%3D
ーーーーーーーーーーーーーーーー
List of Links Foundを見ると以上のような表示がされているページが４箇所あったのですがこれは何か改ざんされているということなのでしょうか。
SiteCheck Resultsではマルウェアや改ざんは検出されていないと出ているのですがこういうことが初めてでご教示いただけますと嬉しいです。
どうぞよろしくお願いします。
CG
(@du-bist-der-lenz)
ドメインが転送される事態に至っていないか、DNS設定を確認して。別サーバーで構築を進めてはいかがでしょう。回復のために労するより前向きで居られます。起こったことの立て直しには、現状回復は過去のものと思い行動しましょう。
原因究明は後々でも出来ますが、サーバーの他のユーザーへの迷惑にならないように配慮して嘉いでしょう。
物事は日々前進してますので、今回の要因が判明しても古い手口になっていることでしょう。
マルウェア監視を専門するプラグインも公式ディレクトリ所収ありますから、注意メールが届くだけでも有効に思ってます。
@du-bist-der-lenzさま
詳細なアドバイスをありがとうございます。
思い当たることもあり、これは大丈夫というものも
あります。日ごろの簡単なことをしっかり守っていくことが
サイトを運営する責任者として大切なことが
よくわかりました。
複数の場所でWifiを使用して接続はしています。
現在すべてのWifiで無線の暗号化ができていたかを
調べています。また、MACアドレスフィルタリングも
少々大変でも設定しようと思います。
プラグインやテーマに関しても無頓着であったと
反省しています。
こんなことになるとは想像もせず、ログイン通知もほとんど
無視していました。
WPでAll In One WP Securityを他のサイトに入れていて
当該サイトには入れていなかったことも失敗でした。
このプラグインをよく見ると、アクセスの通知、
ファイル変更の通知、ログイン画面のURL変更など
いろいろできることが分かりましたので
しっかり使っていきたいと思います。
また、プラグイン内で、有料ですがマルウェアの監視も
できるようです。
同じサーバで他のサイトの削除もするべきか判断ができず
まだ回復には至っていませんが、状況を整理しながら
がんばります。
本当にありがとうございます。
ローカル！！
そうでした。
xamppに昨年11月にアップロードした時の
ファイルが残っていました！
ヒントをありがとうございます。
一応データベースはエクスポートしたものを使おうと思います。
問題は、今後このようなことを発生させないための
対処法が分からないことです。（原因が分からないのだから）
みなさまに教えていただいた、パスワード、マルウェアの
監視？、など、それと、セキュリティのプラグインを
変更する、とかなんでもやってみようと思います。
心配なのは、ドメインがブラックリストに載ってしまっている可能性、
と、サーバの脆弱性です。
取り急ぎお礼とご報告まで申し上げます。
ありがとうございます。
ご紹介いただいたマルウェア駆除をダウンロードしましたが
サイトのURLを開けないので、やっぱり000ファイルを削除するのが
先かと思っています。
さくらに問い合わせをしていますが、返事待ちしてます。
データベースは全部見ましたが、大丈夫そうです。sqlにして
エクスポートしました。
他の人に迷惑がかかってはいけないので、あせらずに再開まで
慎重にやっていきます。
CG
(@du-bist-der-lenz)
迷惑メールの発信元に利用されたと思います。マルウェアが仕込まれていれば、閲覧者に感染もありえます。いずれにしろ、再開まではサイトはメンテナンス状態にするのが良いでしょう。
アクセスを監視。終息を待ちます。
その間、データベースから必要なデータだけを取り出して、隔離した環境で再構築しましょう。
みなさま
ありがとうございます。
まだ何をしていいのか途方にくれている状態です。
昨日はphpMyAdminからパスワードを変更し、犯人の
useを削除しました。
4/3にイタリアからアクセス１件
ありました。4日以降はもちろんなし。4/2ロシア、アメリカ
スペイン・・・
マルウェア削除ツールを使いこなせるか分からないので
とりあえず、
hinaloeさんのアドバイスに従ってuploadとconfig.phpを
バックアップとりました。
ドメイン直下にdead.letterがありましたのでローカルに
落としてサーバから削除しました。
uploadに1月に知らないphpがあり、開くことができなかったので
削除しました。他には実行ファイルはありませんでした。
ドメインの直下にも変なファイルがたくさんあります。
今私が言うのも変ですが、いただいた記事も読みましたが
確かにパスワード一つでセキュリティを
完璧に守ること自体に無理があると思いました。
まだ復旧のめども立たないので、しばらく開けておきます。
また何かアドバイスがありましたらよろしくお願い
いたします。
いいご報告ができるようにがんばります。
CG
(@du-bist-der-lenz)
「迷惑メールが配信された疑いがあり、全部インストールしなおせ」とサーバーが言っているのは、踏み台にして大量メールが送信されていてサーバーに負荷がかかっているため、「000」にしてサイトを停止したものと思います。
パソコン、モバイル内のマルウェア削除は懸命です。Wi-Fi経由でサイトアクセスしたことはなかったでしょうか。パスワードの変更は、わたしは毎月行っています。タイピングを監視されることもあるので、あまりにもパスワードっぽいものは使用しないで、普段良くタイプしている平易なものを使っています。
それでもサーバーが直接攻撃を受けて、画像ファイルに偽装したマルウェアファイルが見つかることもあり、WordPressの大きなバージョンアップの時は、全部入れなおしています。
セキュリティのプラグインでは、ログイン通知が届くようにしています。
munyagu (@munyagu)さま
ありがとうございます。
マルウェア削除ですね。
なんでもやってみます。
さくらでは全部インストールしなおせと言ってますが
できれば避けたいです。
本当に、バックアップも取ってなかったし、パスワードは
そのままでした。やっぱりパスワードを読まれたのでしょうか。
セキュリティはJetPackと他にも入れていたと思いますが
これではどお？というのがありますでしょうか。
ご教示いただければ幸いです。
お心のこもったアドバイスありがとうございます。
😉
