Visbotマルウェアとは? Magentoサイトでの検出方法と駆除手順を徹底解説

ハッカーたちは、Magento 1.9からクレジットカード情報を盗み出すために巧妙な手法を用いています。その一つが、コアファイルを改ざんして「Visbotマルウェア」を仕込むというものです。本記事では、Visbotマルウェアの仕組みと、検出・駆除の具体的な方法について詳しく解説します。

Visbotマルウェアの仕組み

Visbotマルウェアは、ハッキングされたMagentoサイトで発見されるマルウェアで、サイトが読み込まれるたびに実行されます。サーバーへのPOSTリクエストを傍受し、訪問者が送信したあらゆる情報を収集して暗号化したうえで、画像ファイルとして保存します。

この画像ファイルには、パスワードや住所、さらにはクレジットカード番号や決済情報などが含まれている可能性があります。ハッカーは定期的にこの画像を回収し、闇市場で売却しています。場合によっては、このファイルのサイズが850MBに達することもあります!

Visbotマルウェアは通常、Magentoのコアファイル内に隠されています。以下は、ファイルパス /var/www/html/includes/config.php から検出された事例です。

Visbotマルウェアの検出方法

Visbotマルウェアを見つける最も簡単な方法は、次のコマンドでスキャンを実行することです。

grep -r Visbot --include='*.php' /my/document/root

Visbotマルウェアは、app/Mage.php や includes/config.php のように、すべてのページ読み込み時に実行されるコアファイルに潜んでいることが一般的です。収集されたデータはさまざまな場所に保存される可能性があり、実際に発見された保存先は以下の通りです。

• /media/mage.jpg
• /media/catalog/category/<各種ファイル>
• /skin/adminhtml/default/default/images/accordion_open_bg.gif
• /skin/adminhtml/default/default/images/btn_gr_on_bg.gif
• /skin/adminhtml/default/default/images/notice-msg_bg.png
• /skin/adminhtml/default/default/images/sort-arrow-down_bg.png
• /skin/adminhtml/default/default/images/side_col_bg_bg.gif
• /skin/adminhtml/default/default/images/left_button_back.gif

手間をかけずにVisbotマルウェアを確実に検出したい場合は、Astraのように多種類の悪意あるコードやファイルを検出できる専門のマルウェアスキャナーを利用するのが最善の選択肢です。

Visbotマルウェア感染後の復旧手順

1. 駆除作業の前にサイトのバックアップを取る

クリーニング中にユーザーが感染ページへアクセスしないよう、サイトを一時的にオフラインにすることをおすすめします。すべてのコアファイルとデータベースのバックアップを必ず取得してください。バックアップは .zip などの圧縮形式で保存しておくと管理しやすくなります。

2. コア・プラグイン・テーマファイルを入れ替える

感染したコアファイルは、信頼できるソースから入手したオリジナル版と差し替えましょう。最新版のファイルやディレクトリをダウンロードしたら、古いファイルを削除します。Visbotマルウェアはコアファイル内部に潜んでいることが確認されているため、この工程は特に重要です。

3. 不審な最近更新されたファイルをクリーンアップする

最近変更されたファイルを確認することで、感染している可能性のあるファイルを見つけられます。該当するファイルは、クリーンなバックアップまたは信頼できるソースから復元してください。

4. マルウェアスキャンを実行する

Webサーバー全体に対して、マルウェアや悪意あるファイルのスキャンを実行しましょう。ホスティング業者が提供するcPanelの「Virus Scanner」ツールを利用するか、Astra Proプランによる専門家によるマルウェア除去サービスを受けるのも有効です。Astra Proは攻撃をブロックするだけでなく、盗み出したデータを回収しようとするボットのアクセスも防止します。

これらの手順に加えて、Magentoセキュリティに関する関連記事もぜひ参考にしてください。

まとめ:Visbotマルウェア対策のポイント

Visbotマルウェアは主にコアファイル内に潜み、クレジットカード情報などの機密データを窃取するため、非常に危険な脅威です。サイトをマルウェアフリーの状態に保つことが何よりも重要です。ソフトウェアを常に最新版に保つことに加えて、AstraのようなWebアプリケーションファイアウォール(WAF)の導入も強くおすすめします。当社のセキュリティスイートは、悪意あるリクエストがサイトに到達する前の段階でブロックし、仮想パッチの適用によってサイトを自動的に保護します。これにより、ハッキングの心配から解放されるでしょう。

Astraについて

Astraは、ハッカー、インターネット上の脅威、そして悪意あるボットからサイトを守るための総合的なWebセキュリティスイートです。WordPress、OpenCart、Magentoなどの主要CMSで稼働するWebサイト向けに、プロアクティブなセキュリティを提供しています。年中無休24時間対応のセキュリティチームが、お客様のご質問・ご相談に迅速にお答えします。