WordPressサイトがbuyittraffic[.com]などに勝手にリダイレクトされる malware の原因と今すぐできる解決策

WordPressサイトを狙った大規模リダイレクトマルウェアが再び猛威を振るう

WordPressサイトを標的とした大規模なリダイレクト型マルウェアが再び拡散しています。サイトが見知らぬドメインへ勝手に転送されたり、管理画面でエラーが発生したりと、多くのサイト運営者から相談が寄せられました。

これらのサイトの駆除作業を進める中で、感染手法に共通点があることが判明しました。すべて同一のリダイレクトマルウェアによる被害です。まず「buyittraffic[.com]」という悪意あるドメインへリダイレクトされ、その後「sinowncrers12[.]live」「cuttraffic[.com]」「puttraffic[.com]」「importtraffic[.com]」「gianttraffic[.com]」、さらに「js.greenlabelfrancisco[.com]/touch.js」「dl.gotosecond2[.com]/talk.js」「statistic[.]admarketlocation[.]com」「stat.trackstatisticsss[.com]/slan.js」「silvergatest15[.]live」「www.wow-robotics[.xyz]」「planeobservetoo1[.]live」「dock.lovegreenpencils[.ga]/m.js?n=nb5」「cht.secondaryinformtrand[.com]/m.js?n=nb5」「main.travelfornamewalking[.ga]/」「irc.lovegreenpencils[.ga]/」などのドメインへ最終的に転送されます。

また多くのケースでは、上記のサイトに到達する前に「clicks.worldctraffic[.com]」「top.worldctraffic[.com]」「red.toupandgoforward[.com]」「bluelabelmoscow[.com]」「ticker.trasnaltemyrecords[.com]」などを経由することも確認されています。

これは典型的な「リダイレクトチェーン」と呼ばれる手法で、目的のドメインにたどり着くまでに何度も転送が繰り返される仕組みです。

調査の結果、現時点で数百規模のWordPressサイトがこのマルウェアに感染していることがわかりました。

ハッキングされている兆候(症状)

トップページが他のドメインへ勝手にリダイレクトされるのは、ハッキングの明白なサインです。しかし、このマルウェアには他にも以下のような兆候があります。次の状態に当てはまる場合は、サイトが乗っ取られている可能性があります。

• ウェブサイト自体にアクセスできない
• wp-admin(管理画面)にログインできない
• wp-adminにアクセスすると404エラーが表示される
• WordPress管理画面にログインしようとすると「ERROR: There is no user registered with that email address(そのメールアドレスで登録されたユーザーは存在しません)」というエラーが出る

同様の症状が見られる場合は、ぜひご相談ください。数時間以内にサイトの駆除を完了させます。弊社のマルウェアスキャナーなら、わずか数分でマルウェアを検出できます。

ハッキングの技術的な仕組み

このマルウェアがサイトを何度もリダイレクトさせる仕組みについて、詳しく見ていきましょう。

以下は、実際に被害に遭ったサイトの画面です。ドメイン名に注目してください。

このドメインで通知バーを閉じようとすると、「0.cuttraffic[.com]」という少し異なるドメインへリダイレクトされます。

さらに通知バーを閉じると、今度は「1.cuttraffic[.com]」へ…という具合に、閉じる操作をするたびに番号が増えたドメインへ転送され続けます。

簡単な調査でも、サイト内に「buyittraffic[.com]」へのリンクが注入されていることが確認できます。

さらに興味深いことに、リダイレクト先のページは訪問者の地域言語に合わせて表示内容が変化することも確認されています。

ハッカーはどうやってサイトに侵入したのか?

では、なぜこれほど多くのサイトが感染してしまったのでしょうか。

明確な理由は特定できていませんが、脆弱性のあるバージョンの「Adminer」が原因である可能性が高いと考えています。

駆除作業の中で、被害を受けたすべてのサイトのルートフォルダに「adminer.php」というファイルが存在することを確認しました。このことから、ハッカーはAdminerスクリプトを使ってデータベースへアクセスし、感染を広げたものと推測されます。

ここに重要な事実が加わります。Adminerのバージョン4.6.3以前には深刻な脆弱性があり、攻撃者がサーバー上のローカルファイルを読み取ることが可能です。具体的には、WordPressの「wp-config.php」やMagentoの「local.xml」など、データベース接続情報を含むファイルが盗み見られてしまいます。これにより、データベースへの不正アクセスが可能になるのです。

そのため、サーバー上に「adminer.php」ファイルが存在しないか必ず確認し、見つかった場合は直ちに削除することを強くおすすめします。

ハッキングへの対処方法

サイトの感染に気づいたら、選択肢は2つあります。専門家に駆除を依頼するか、自分で手動で駆除するかです。

手動で駆除する場合は、まずサーバー内の悪意あるファイルを探すところから始めましょう。ハッカーは通常、複数の脆弱性を悪用し、サーバー上に複数の不正ファイルを作成します。感染ファイルを見つけ出し、リダイレクトを引き起こしている箇所だけを正確に削除する必要があります。この感染に関連するマルウェアを探すべき主な場所は以下の通りです。

1. Adminerスクリプトを探す: サイトのcPanel/FTPにログインし、「adminer.php」という名前のファイルを探します。このファイルは、ハッカーがサーバーへのバックドアを確保するために設置することが多いものです。見つけたら即座に削除してください。
2. バックドアを特定する: こうした事例では、「wp-content/force-download.php」に不審なファイルが設置されているケースが多々あります。WordPressのwp-contentフォルダ内にforce-download.phpがないか必ず確認し、存在すれば削除してください。
3. ソースコードを確認する: 最も基本的なチェックとして、indexページのコードを開き、悪意あるリンクが含まれていないか検索します。見つかった場合は削除してください。
4. 偽ユーザーアカウントを確認する: データベースの「wp_users」テーブルを開き、不明・未承認のユーザーが登録されていないか確認します。ハッカーは攻撃したサイトへのアクセスを維持するため、偽の管理者アカウントを作成することがあります。今回の攻撃でも同様の手口が確認されました。被害サイトの多くに、悪意あるユーザー/管理者アカウントが作成されていました。
   これらの攻撃で使われた既知の偽ユーザーID:admin@wsxdn.com[.com]、admin@wsxdn.com[.]com(ユーザー名:wordpresdadmin)

手動での段階的な駆除手順については、WordPressマルウェア除去ガイドを参考にしてください。

悪意あるリンクをクリックしてしまった場合の対処法

閲覧していたサイトで悪意あるポップアップの「許可」を押してしまった方は、以下の対策を実施してください。

1. Chromeのプッシュ通知設定を確認し、見覚えのないサイトの通知を無効にする
2. PCでウイルス対策ソフトのスキャンを実行する
3. 念のため、当日分のブラウザキャッシュと閲覧履歴を消去する

今後のサイト保護のために

こうした深刻かつコストのかかる事態を回避するためには、信頼できるセキュリティ対策への投資が不可欠です。Astraセキュリティスイートは、Webアプリケーションファイアウォール(WAF)、マルウェアスキャナー、即時マルウェア駆除、VAPT(脆弱性診断・ペネトレーションテスト)などを提供しています。AstraのWordPressセキュリティソリューションを導入すれば、こうした心配から解放されるでしょう。

さらに、WP HardeningプラグインもAstraが提供する多機能セキュリティツールです。サイト監査とワンクリックでのセキュリティ修正機能を備えており、12以上の重要なセキュリティ項目をこのツール一つで強化できます。

まとめ

WordPressへのリダイレクトハッキングは決して新しい話ではありません。しかし、buyittraffic[.com]へのリダイレクトマルウェアは、複数の経路でサイトに影響を及ぼす点で特筆すべきものです。この感染には、さまざまな仕組みが絡んでいることは明らかです。

こうしたハッキングの直接の原因は、サイト自身の脆弱性です。日頃のサイト管理の怠慢が脆弱性を生む一因となったり、セキュリティ監査や脆弱性診断を実施していないこともリスクにつながります。これらの原因に対処できれば、再びマルウェア除去の方法を探し回る必要はなくなるはずです。

サイトに関する具体的なお悩みがあれば、下記のコメント欄またはお問い合わせフォームからご連絡ください。必ず返信いたします :)