WordPress・Joomla・CodeIgniterサイトがハッキングされた?ionCubeを装うマルウェアの脅威と対策

700を超えるWordPressおよびJoomlaサイトが、正規のionCubeエンコードファイルに偽装したマルウェア「ionCubeマルウェア」に感染していることが明らかになりました。

ionCubeは、PHPファイルの暗号化・難読化・ライセンス管理機能を備えた、長い歴史を持つ強力なPHPエンコーダーです。ライセンス費用が必要なため、本来なら悪意ある用途に使われることはほとんどありません。

しかし攻撃者は、マルウェアをionCubeエンコードファイルに見せかける手法を編み出し、さまざまなWebサイトへの侵入に成功しています。被害を受けたのはWordPress、Joomla、CodeIgniterベースのサイトなどです。このマルウェアは脆弱なサイトにバックドアを作成し、サイト利用者のデータ窃取につながる恐れがあります。

ionCubeマルウェア感染の兆候

研究者らは、無害そうな名前を持つ7,000を超える偽のionCubeファイルがPHPサーバー上で稼働していることを発見しました。正規のionCubeファイルはごく少数の行で構成されているのに対し、偽物は構造が大きく異なります。さらに、正規のionCubeファイルはすべてioncube.comドメインを参照していますが、偽ファイルにはその記述が存在しません。

偽のionCubeファイルは次のような外観です。

一方、正規のionCubeファイルは以下のとおりです。

加えて研究者らは、PHP終了タグの後に、英数字と改行のみで構成されるコードブロックが挿入されていることも確認しています。これは正規ファイルには見られない特徴です。

調査の結果、700の感染サイトと合計7,000以上の感染ファイルが確認されました。「diff98.php」や「wrgcduzk.php」といったPHPファイルは、一見すると正規のionCubeエンコードファイルとほぼ同じ外観を持つ、難読化された不審なファイルでした。

デコードしてみると、偽のionCubeファイルの中身はionCubeマルウェアそのものです。理論上、注入された悪意あるコードは、PHPが動作するWebサーバー上のあらゆるサイトに感染しうるといえます。

対策方法は?

マルウェアの亜種が非常に多いため、偽物と正規のionCubeファイルを見分けるのは容易ではありません。開発者が意図的にionCubeエンコードファイルを設置していないのにサーバー上に同様のファイルが見つかった場合、感染している可能性が高いといえます。1つのサイトに100近くの微妙に異なるマルウェア亜種が存在することも珍しくありません。なお、異なるPHPバージョンとの互換性が低いため、このマルウェアの活動範囲は限定的です。

ionCubeマルウェアへの対策は可能です。研究者らは管理者に対し、ionCubeエンコードファイルの有無を侵害インジケータ(IoC)として確認することを推奨しています。検出された場合は、脅威を完全に排除するため、サイト全体のスキャンを実施するとともに、WAF(Webアプリケーションファイアウォール)の導入が不可欠です。

開発者向け無料の「セキュアコーディング実践チェックリスト」をダウンロードして、サイトのコーディングセキュリティを万全に整えましょう。

さらに、AstraのWebセキュリティファイアウォールを導入すれば、こうしたオンラインの脅威からサイトをより強固に守ることができます。