WordPressサイトの悪意あるリダイレクト(リダイレクトハック)を修正する完全ガイド

あなたのウェブサイトが別のサイトへ勝手にリダイレクトされていませんか?

さらに悪いことに…

WordPressのダッシュボード自体が別のサイトに飛ばされていませんか?Qutteraを導入している場合は、次のような表示を目にしているかもしれません。

脅威名: Heur.AlienFile.gen

もちろん、これだけでは何も分かりませんよね。ご安心ください。この記事ですべて解説します。

あなたのサイトは「WordPressハッキングリダイレクト」マルウェアに感染しています。すでに自力でクリーニングを試みたものの、うまくいかなかったという方もいるでしょう。

まず、効果がない(そして今後も効かない)対策から見ていきましょう。

• 感染原因となったプラグインやテーマを無効化・削除する
• バックアップを使って過去の状態に復元する
• WordPress本体・テーマ・プラグインを更新する

要点(TL;DR): リダイレクト型マルウェアは手動での特定と除去が非常に困難です。しかし朗報があります。マルウェア除去ツールを使えば、60秒以内にサイトをクリーンアップできます。

あなたのサイトで何が起きているのか

WordPressハッキングリダイレクトマルウェアは、次のような被害をもたらします。

• トラフィックを盗み、サイトの評判を破壊する

• Googleによってサイトをブラックリスト登録される可能性がある

• ホスティング会社に予告なくアカウントを停止される恐れがある

しかし、これが最悪の事態ではありません。

実は、この種のマルウェアには数百もの亜種が存在します。ハッカーが高度であるほど、マルウェアの発見と除去は難しくなります。

また、このハッキングは非常に目立つため…

…「最悪なのはサイトが別の場所にリダイレクトされることだ」と思い込みがちです。

しかし実際には、最も危険なのは、このマルウェアが管理者権限を持つWordPressユーザーアカウントを作成してしまうことです。

つまり、ハッカーはあなたがサイトを掃除する回数と同じだけ、何度でも再感染させることができるのです。

仮にWordfenceのように、再ハッキングの場合でも都度課金されるクリーニングサービスを利用したらどうなるでしょうか?このマルウェアは文字通りあなたの財布を枯渇させることになります。

さらにWordfenceは、リダイレクトハックに対して膨大な数の警告を出します。

* Unknown file in WordPress core: wp-admin/css/colors/blue/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/coffee/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/ectoplasm/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/light/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/midnight/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/ocean/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/php.ini
* Unknown file in WordPress core: wp-admin/css/colors/sunrise/php.ini
* Unknown file in WordPress core: wp-admin/css/php.ini
* Unknown file in WordPress core: wp-admin/images/php.ini
...

これがWordfenceによる「リダイレクトマルウェア感染」の報告方法です。

しかし、この情報を受け取って、一体何をすればいいのでしょうか?

今すぐ必要なのは、恒久的なクリーニングです。放置するほど、被害は拡大していきます。

幸い、サイトをきれいにすることは可能です。その方法をご紹介します。

本当にリダイレクトマルウェアに感染しているか確認する方法

感染経路は実にさまざまです。では、自分がこのウイルスに感染しているかどうか、確実に判断するにはどうすればいいのでしょうか?

簡単なチェックリストで確認しましょう。以下の項目のうち、1つでも「はい」と答えたら、リダイレクトマルウェアに感染しています。

• すべてのページで常時、別のサイトへのリダイレクトが発生している
• Googleの検索結果でスパムコンテンツとしてフラグが立っている
• サイト上に身に覚えのないプッシュ通知が表示されている
• index.phpファイル内に悪意のあるJavaScriptコードが存在する
• .htaccessファイルに不明なコードが含まれている
• サーバー上に不審な名前のゴミファイルが存在する

意外に思われるかもしれませんが、最初のチェック(目に見えるリダイレクト)が実際には最も稀なケースです。

前述のとおり、この問題にはあまりにも多くの亜種があるため、サイトへのフルアクセス権限があったとしても、悪意のあるコードそのものを見つけられないことさえあります。

WordPressリダイレクトハックを駆除する3つの方法

感染後のクリーニング方法は主に3つあります。

• 方法①:マルウェアスキャン&クリーニングツールを使う(推奨)
• 方法②:オンラインセキュリティスキャナーを使う(非推奨)
• 方法③:手動でクリーニングする(リダイレクトマルウェアにはほぼ不可能)

それぞれ順番に見ていきましょう。

方法①:マルウェアスキャナー&クリーナープラグインを使う

信じてください:プラグインにお金をかける価値は十分にあります。サイトをスパムページへリダイレクトするマルウェアに感染したなら、それが最善の選択です。

もし問題を解決できるマルウェアスキャナー&クリーナーがどうしても見つからない場合は、サイトを削除して新しく作り直す方がマシです。ビジネスにとってどれほど重要なサイトであっても、です。

それほど、手動クリーニングはストレスが大きいのです。

私たちがおすすめするのは、MalCareのような強力なマルウェアスキャナー&クリーナーです。

多少のバイアスはあるかもしれませんが、WordPressリダイレクトハックマルウェアのスキャンと駆除には、MalCareを心からおすすめします。

なぜなら、これはサイトを壊すことなく、リダイレクト問題を最速かつ最も簡単に発見・除去・修復できる方法だからです。

無制限の無料サーバーレベルスキャンで、サイトが本当に感染しているか確認できます。その後、プレミアム版にアップグレードすれば、ワンクリックで60秒以内にサイトをクリーニングできます。

さらに、MalCareのセキュリティ強化機能を使えば、再ハッキングの防止にも役立ちます。

具体的な手順は以下のとおりです。

ステップ1: MalCareにサインアップする

ステップ2: MalCareスキャナーを実行する

ステップ3: 「Clean」ボタンを押して自動クリーニングを実行する

ステップ4: 最後に「Apply Hardening」で将来の脅威からサイトを保護する

以上で完了です。

WordPressリダイレクトハックは、MalCareが自動的に検出・駆除できる多くのマルウェアの一例にすぎません。

もしMalCareのような有料スキャナーを使わない場合は、おそらく次のようなセキュリティプラグインが導入済みでしょう。

• Sucuri
• Wordfence
• Quttera
• Astra Web Security
• WebARX Security

これらのプラグインは学習アルゴリズムに基づくワンクリック自動クリーニングを提供していませんが、専門スタッフによる手動クリーニングを受けることができます。

正直に言うと! これらのプラグインでは:

• 迅速な対応は期待できません。手動クリーニングには時間がかかります。
• 再ハッキング時には追加料金が発生します。MalCareのような無制限クリーニングは受けられません。
• マルウェアを完全に除去できない場合があります。多くのプラグインはハッカーが残したバックドアを見逃しがちです。

とはいえ、どれか一つでも導入する方が、オンラインスキャナーや完全な手動チェックよりはるかに良い選択です。

過去に有料ソリューションで失敗した経験があり、どうしても避けたい方は、この先を読んでください。おすすめはしませんが、もう2つの選択肢をご紹介します。

方法②:オンラインセキュリティスキャナーを使う

事前チェックとして、Sucuri SiteCheckやGoogle Safe Browsingを利用できます。

これらはオンラインセキュリティスキャナーですが、サイトのHTMLファイルに対して非常に浅いチェックしか行いません。オンラインスキャナーはブラウザから見える部分しか確認できず、取得したコード断片を既知のマルウェアシグネチャデータベースと照合するだけです。

代わりに、MalCareでサイトをスキャンしてみてください。7日間の無料トライアルで、はるかに深いスキャンを提供しています。

オンラインセキュリティスキャナーは、サーバーやWordPressコアファイル内のマルウェアを検出できません。

はっきり言って、まったく無意味というわけではありません。

Webベースのスキャナーは、検索エンジンにブラックリスト登録されたリンクを発見できます。稀なケースでは、一般的なマルウェアのコード片が見つかることもあります。しかし、マルウェアを正確に特定して駆除したいなら、サーバーレベルのマルウェアスキャナーが必要です。

使い方は非常にシンプルです。

• スキャナーサイトにアクセスする
• 自分のサイトのURLを入力する
• 結果が出るのを待つ

繰り返しますが、表面的なスキャナーでは状況は改善しません。

いくつかの悪質なリンクのヒントは得られるかもしれませんが、ハッカーは依然としてあなたのWordPressサイトにアクセスし続けています。数日後には、再びリダイレクトマルウェアに感染してしまうでしょう。

方法③:手動でスキャン&クリーニングする

率直に申し上げます。

リダイレクトハックの手動クリーニングは、サイトを完全に壊す確実な方法になりかねません。

冗談ではなく、本気です。

10年以上の経験を持つ熟練データベース管理者でさえ、WordPressデータベースの手動クリーニングを恐れています。WordPressのプロフェッショナルたちは、コアファイルや.htaccessファイルを決していじらないよう忠告します。

残念ながら、WordPressリダイレクトマルウェアは通常、以下に影響を及ぼします。

• WordPressコアファイル
  
  • index.php
  • wp-config.php
  • wp-settings.php
  • wp-load.php
  • .htaccess

• テーマファイル
  
  • footer.php
  • header.php
  • functions.php

• JavaScriptファイル(サイト全体のJS、または特定ファイル)

• WordPressデータベース
  
  • wp_posts
  • wp_options

• 偽のfavicon.ico(URLインジェクション、管理者アカウント作成、スパイウェア/トロイの木馬設置、フィッシングページ作成などの悪意あるPHPコードを含む)

カバーすべき範囲は非常に広大です。

それでも冒険精神あふれるタイプで、どうしても手動でスキャン&クリーニングしたいという方は、必ずサイト全体のバックアップを取ってください。

今すぐ、です。

BlogVaultを使えば、ワンクリック復元機能付きのバックアップが取れます。万一の際に備えて最高のバックアッププラグインの一つです。

正直なところ、他のバックアッププラグインを使っても構いません。重要なのは今すぐバックアップを取ることです。

その後は、以下の手順に忠実に従ってください。

パート1:WordPressコアファイルの確認

WordPressコアファイルは、リダイレクトマルウェアの多くの亜種にとって主要な標的となります。

ステップ1:サイトのWordPressバージョンを確認する

Kinstaの便利な記事で、WordPressバージョンの確認方法を紹介しています。管理ダッシュボードにアクセスできない場合でも、バージョンを特定できます。

ステップ2:cPanelでWordPressファイルをダウンロードする

cPanelから直接ファイルをダウンロードできます。cPanelにアクセスし、Backup Wizardを使ってファイルをダウンロードしてください。

ステップ3:同バージョンのクリーンなWordPressファイルをダウンロードする

WordPress.orgからオリジナルのWordPressファイルをダウンロードします。

ステップ4:Diffcheckerで比較する

この最終ステップは決して楽しい作業ではありません。各ファイルの両バージョンを https://www.diffchecker.com/ に手動でアップロードし、差分チェックを実行する必要があります。

時間がかかり、骨の折れる作業です。正直に言えば、表示されている内容を100%理解していないのに差分を削除するのは非常に危険です。サイトを壊してしまう恐れがあります。

パート2:バックドアの確認

バックドアとは、その名のとおり、ハッカーがあなたに気づかれることなくサイトへアクセスするための侵入経路です。

サイト内を検索して、次のような悪意のあるPHP関数がないか確認しましょう。

• eval
• base64_decode
• gzinflate
• preg_replace
• str_rot13

注意: これらの関数はデフォルトで悪意があるわけではありません。多くのPHPプラグインが正当な理由で使用しています。繰り返しますが、内容を理解していないコードは削除しないでください。万が一削除してサイトが壊れた場合は、バックアップから復元しましょう。

リダイレクトマルウェアは複数のバックドアを仕込むことがあります。すべてを手動で見つけるのは本当に大変です。ここでも、MalCareの即時導入をおすすめします。

パート3:不明な管理者アカウントの削除

WordPressダッシュボードにアクセスできる前提ですが、アクセスできるなら:

• 「ユーザー」ページへ移動する
• 不審な管理者を探して削除する
• すべての管理者アカウントのパスワードをリセットする
• 「設定」→「一般」へ移動する
• 「誰でもユーザー登録できるようにする」を無効化する
• 新規ユーザーのデフォルト権限グループを「購読者」に設定する

念のため、WordPressソルト(Salts)とセキュリティキーも変更しておきましょう。

偽の管理者アカウントこそが、クリーニング後もリダイレクト問題がサイトに居座り続ける原因なのです。

パート4:プラグインファイルのスキャン

WordPressコアファイルと同じ要領でプラグインも確認できます。WordPress.orgからオリジナルのプラグインをダウンロードし、Diffcheckerで全プラグインファイルを比較して、リダイレクトマルウェアを発見します。

はっきり言って面倒です。しかも、この方法には大きな限界があります。脆弱性を修正するプラグイン更新が存在しないケースさえあるのです。

パート5:データベースのスキャン&クリーニング

これはおそらく、リダイレクトマルウェア駆除の中で最も厄介な工程です。

でも、もう少しで終わりです。

データベースのスキャンは、バックドアの検索とほぼ同じ要領です。次のようなキーワードを検索します。

• <script>
• eval
• base64_decode
• gzinflate
• preg_replace
• str_rot13

重要: データベースからむやみに削除してはいけません。 ほんの1つのスペースの誤りでも、サイト全体が崩壊する可能性があります。

もし手動クリーニングを完璧にやり遂げられたなら、ぜひご連絡ください。採用したいくらいです!

そして、途中で挫折した方へ。それはあなただけではありません。WordPressリダイレクトハックは、最も修復が困難なハッキングの一つなのです。

素直にMalCareを使えば60秒でサイトを復旧し、日常に戻れます。

以降のセクションでは、そもそもどうやってハッキングされたのか、そしてリダイレクト問題のさまざまな亜種について解説します。

時間があればぜひ読んで、このマルウェアへの理解を深めてください。長期的に必ず役立ちます。

なぜ悪意あるリダイレクトはこれほど危険なのか

悪意あるリダイレクトが深刻な理由の第一は、サイトオーナー自身が感染に最初に気づくことがほとんどない点です。運が良ければ、訪問者から「なぜ怪しい商品を売る胡散臭いページに飛ばされるのか」「元のサイトと全然違うのはなぜか」というメールが届くかもしれません。

運が悪ければ、SNSやGoogle Search Consoleを通じて発覚します。Googleはいずれ感染サイトをブラックリスト登録するからです。

どちらにせよ、そんな状況になりたい人はいません。高品質なセキュリティプラグインを導入して感染を未然に防ぎましょう。インターネット上に潜む脅威からサイトと訪問者を守る最善の方法です。

もう一つの理由は、悪意あるリダイレクトが実に多様な形態をとる点です。サイト訪問者に起こりうる被害の例をいくつか挙げます。

今後の悪意あるリダイレクトを防ぐ方法

古い格言のとおり、「予防は治療に勝る」です。病気(この場合はマルウェア)が定着すると、宿主の中で急速かつ猛烈に広がります。感染期間が長引くほど、漏洩するデータは増え、標的になるユーザーも増え、最終的にオーナーであるあなたの損失も膨らみます。

悪意あるリダイレクトを防ぐ鍵は、強力なファイアウォールを備えた安全なサイト運営です。実践できるセキュリティ対策を紹介します。

• MalCareを導入する: 強力なスキャナーとファイアウォールを備えたセキュリティプラグインです。予防・スキャン・駆除を兼ね備えた三重の防御になります。
• テーマとプラグインを常に最新に保つ: 最低限の必須対策です。ほとんどのテーマやプラグインは、更新でセキュリティホールを修正しています。
• 海賊版(ヌークド)テーマ・プラグインを使わない: 既に使っているなら今すぐ撤去しましょう。節約額よりも損失の方がはるかに大きくなります。
• 強固なログイン認証情報を使い、ユーザーにも同じことを義務付ける。
• WordPressの権限を適切に管理する: 最小権限の原則を徹底しましょう。
• ログインページを強化する: ハッカーは他のどのページよりもログインページを狙います。「WordPress管理画面を安全にする方法」ガイドを参考にしてください。

これらは今日から実践できる簡単な対策です。さらに、サイト強化(hardening)施策も併用できます。その多くはMalCareに含まれているため、最も簡単な保護方法は今すぐ導入することです。

WordPressリダイレクトマルウェアの感染経路

他のマルウェアと同様、WordPressサイトが感染する経路は多岐にわたります。代表的なものをいくつか見ていきましょう。

権限を持つアカウントの管理不備

管理者権限は、絶対的に信頼できる人にのみ付与してください。責任あるサイト運営とは、すべてのアカウントに最小限の権限を与えることを意味します。忘れないでください。人々がログインするのはあなたのサイトだけではありません。別のサイトでメールアドレスや認証情報が漏洩していれば、あなたのサイトにも波及しかねません。

テーマとプラグインの脆弱性

使用していないプラグインやテーマは削除しましょう。使用中のテーマ・プラグインを定期的に監査し、開発者のページで新たに発見された脆弱性の報告をチェックしてください。開発者がセキュリティアップデートで製品を修正するため、常に最新状態を保つことが重要です。

活発にメンテナンスされている有料プラグインを選ぶのも良い理由です。MalCareは日々膨大な数のサイトを分析しており、脅威データベースの継続的な維持によって堅牢なセキュリティプラグインを構築してきました。

XSS(クロスサイトスクリプティング)による感染

クロスサイトスクリプティング(XSS)はWeb上で最も多い脆弱性であり、ハッカーがリダイレクトマルウェアを仕込む非常に一般的な手法です。この攻撃は、悪意のあるJavaScriptコードをサイトに挿入することで実行されます。

多くのプラグインやテーマは、<head>タグ内や</body>タグ直前にJavaScriptを追加できます。これは通常、Google Analytics、Facebook、Google Search Console、Hotjarなどのトラッキング・解析コードを埋め込むために使われます。

サイトのJavaScriptは、リダイレクトリンクの調査が最も難しい場所の一つです。さらに厄介なことに、ハッカーはリダイレクトURLをASCII数値列に変換します。つまり、'pharma'という単語を'112 104 097 114 109 097'に変換し、人間が読めないようにするのです。

XSS脆弱性が知られている代表的なプラグインには以下があります。

• WP GDPR
• WP Easy SMTP
• WordPress Live Chat Support
• Elementor Pro

XSS脆弱性は多様な形態をとるため、該当プラグインは数千に及びます。

.htaccessやwp-config.php内の悪意あるコード

.htaccessとwp-config.phpは、ハッカーに最も人気のある標的の2つです。

これらのファイルへの悪意あるコード挿入は、ファーマハック(Pharma Hack)の典型的な手口です。

プロのヒント: これらのファイルをチェックする際は、右端までスクロールしてください。悪意あるコードは、普通は見ない右側の奥に隠されていることがあります!

より確実にするには、functions.php、header.php、footer.php、wp-load.php、wp-settings.phpなど、すべてのWordPressコアファイルも確認しましょう。

ゴースト管理者(Ghost Admins)

ハッカーが偽のfaviconや同様の悪意あるPHPでサイトに感染させると、いつでも自由にアクセスできる「ゴースト管理者」アカウントを作成できます。

こうして、ハッカーは好きなだけ何度でも、リダイレクトマルウェアでサイトを再感染させられるのです。

恐ろしい話ですね。

サードパーティサービス

サイトで広告やその他のサードパーティサービスを利用している場合、悪意あるコードがそこを通じて訪問者に表示される可能性があります。広告配信業者の中には審査が甘いところもあれば、悪意ある素材がすり抜けてくることもあります。いずれにせよ、被害を受けるのはあなたのサイトです。

広告ネットワークの審査は重要ですし、シークレットモードのブラウザで定期的にリダイレクト広告がないか確認しましょう。広告はローテーション表示されることが多いため、何度か再読み込みして確認するのも有効です。

サイトを感染ゼロの状態に保つことは極めて重要であり、常に警戒が必要です。誰よりも先にリダイレクトハックを発見するために、定期的なスキャンを欠かさないでください。

次にすべきことは?

安全第一で行動しましょう。

既知の脆弱性を持つプラグインは、更新がリリースされるまで使用を中止してください。ヌークド(海賊版)テーマやプラグインの使用をやめましょう。古いテーマ、プラグイン、WordPressファイルの使用もやめましょう。

さらに、MalCareのようなWordPressマルウェア除去プラグインを導入し、将来の脅威からサイトを保護しましょう。

追加対策として、WordPressハードニングでセキュリティを強化することもできます。

サイトにリダイレクトマルウェアが存在する場合、日本語キーワードハック、SQLインジェクション攻撃、フィッシング攻撃、SEOスパムといった一般的なハッキング攻撃の兆候である可能性もあります。興味があれば、それぞれの記事もチェックしてみてください。

今回は以上です。

皆さんのサイトが無事クリーンアップできることを願っています。

それでは、また次の記事でお会いしましょう!