Drupalの深刻な脆弱性「localstorage[.]tk」大規模感染の実態と対策を徹底解説

はじめに：急増するDrupal感染の脅威

2018年の春、Drupalの脆弱性を悪用した感染が急増し、多くのサイト運営者を悩ませています。かつてWordPressやJoomlaと並ぶCMSの中でも最も安全性の高いものの一つとされ、世界中の企業に利用されてきたDrupalですが、新たな悪意ある攻撃の標的となってしまいました。

現在、Drupalユーザーの間では感染の大幅な増加が報告されており、最新の被害は「js.localstorage[.]tk」経由でユーザーを「テックサポート詐欺」へリダイレクトする攻撃です。この感染により、数千規模のDrupalサイトが影響を受けています。

Drupal感染の仕組み

このDrupalのエクスプロイトは、悪意のあるJavaScriptコードとして現れ、さまざまな.tpl.php、.html.twig、.jsファイルに注入されます。悪意のあるスクリプトはhxxps://js.localstorage[.]tk/s.js?crt=newから読み込まれるほか、hxxp://193.201.224.233/m.js?d=3からロードされるケースもあり、いずれも悪意のあるリダイレクトにつながります。さらに、このコードはデータベース内の複数箇所にも悪意のあるスクリプトを注入します。

eval(String.fromCharCode(118, 97, 114, 32, 122, 32, 61, 32, 100, 111, 99, 117, 109, 101, 110, ...省略... 100, 40, 122, 41, 59));

感染したページには上記のようなJavaScriptコードが埋め込まれています。

注意すべき点として、ファイルやデータベースからこれらの悪意のあるJavaScriptコードを削除しても、効果がない場合があります。攻撃者は、ファイルがクリーンに見えた場合に備えて再感染させるためのファイルを仕込んでいるからです。これらのファイルには通常、「g.php」「tonure.php」「jooner.php」といったランダムなファイル名が付けられています。

以下は、悪意のあるJavaScriptファイルを.tpl.php、.html.twig、header.php、drupal.jsファイルへ注入するマルウェアインジェクターのコード例です。

localstorage[.]tk Drupal感染の主な症状

1. 本来存在しないはずのサブディレクトリにindex.phpファイルが作成されている。
2. 公開ファイルやフォルダ内に、「g.php」「tonure.php」「jooner.php」「stats.php」などランダムなファイル名の不審なファイルが発見される。また、不審な16進数形式の名前を持つ.icoファイルやPHPファイルも要注意。
3. ランダムな文字列の.ico拡張子ファイルや、public_html配下の全ディレクトリ・サブディレクトリに配置された、.icoファイルへのインクルードを含むパーミッション0755のindex.phpが発見される。
4. public_htmlのパーミッションが777に変更されたことで、SuPHP環境のサーバーで500エラーが発生する。
5. データベース内にハッキングスクリプトへの参照(%localstorage%など)が残っている。

Drupalエクスプロイト(localstorage[.]tk感染)への対策

被害がすでに発生していても、適切な対策を順序立てて実施することで、さらなる攻撃を防ぎ、この脆弱性の影響を最小限に抑えられます。以下の手順で感染を除去し、将来のリスクにも備えましょう。

1. Drupalのバージョンをアップグレードする：感染を完全に解消するには、最新版のDrupal(Drupal 7.59、Drupal 8.5.3、またはDrupal 8.4.8以降)へパッチを適用してアップグレードすることが強く推奨されます。
2. バックドアを完全に排除する：すべてのバックドア(悪意のあるcronジョブを含む)を排除したうえで、感染したDrupalファイルとデータベースから注入されたマルウェアを削除する必要があります。バックドアが残っていると、せっかくクリーニングしたファイルが再び感染してしまう恐れがあります。
3. 誤った方法で感染を除去すると、即座に再感染するリスクがあります。ハッキングされたDrupalサイトの復旧については、Astraの専用ガイドに従うことをおすすめします。
4. 公式Drupalフォーラムで公開されているステップバイステップの復旧ガイドに従って作業を進めてください。
5. Webアプリケーションファイアウォール(WAF)の導入を強く推奨します。WAFは、差し迫った脅威からサイトを自動的に保護するだけでなく、新たに発見された脆弱性の情報提供や、パッチ・新バージョンのリリース通知も行ってくれるため、継続的なセキュリティ維持に役立ちます。

Drupalサイトをこうしたオンライン攻撃から確実に守りたい方は、AstraのDrupalセキュリティスイートをご検討ください。安心してビジネスを続けるための強固な防御を提供します。

緊急のサポートが必要な場合は、チャットウィジェットからお気軽にお問い合わせください。

開発者向け「Astra セキュアコーディング実践チェックリスト」のダウンロードはこちらから。