Hikosachi 開発チームです。
今回は、セキュリティベンダーSucuriの調査により報告された、駆除が非常に難しい自己修復型のWordPressバックドア「SC」についてお届けします。
従来の「怪しいファイルを削除すれば終わり」という対応では通用しない、新しいタイプの侵害手口として注目されています。
今回のポイント
- Sucuriの調査により、注入されたコード内の「SC_」という目印にちなんで「SC」と名付けられたWordPressバックドアが報告された。
- ファイル・データベース・（対応環境では）サーバーの共有メモリなど、複数の場所に同時に自身の断片を仕込み、どれか一つを削除されても他の断片から自己再生する「自己修復型」の仕組みを持つとされる。
- 指令の受信には特定の管理サーバーではなく、公開されているイーサリアムのRPCゲートウェイを複数経由する分散的な手法が使われているとの報告があり、これが「ブロックチェーン型」と呼ばれる所以となっている。
- WordPressの管理画面や更新チェックから自身を隠し、隠し管理者アカウントを使った不正ログインや、決済情報を盗む不正なJavaScriptの設置などに悪用されうるとされる。
- 特定の1つのプラグインやテーマの脆弱性情報ではなく、侵害後に設置される「持続化（永続化）の手口」についての報告であることに留意が必要。
自己修復するWordPressバックドア「SC」
The Hacker Newsなどの報道によると、セキュリティベンダーSucuriの研究者が、通常の駆除作業では完全に取り除くことが難しいWordPress向けの新しいバックドアを確認しました。
注入されたコードに含まれる「SC_」という文字列にちなみ「SC」と名付けられています。
報告によれば、このバックドアは単一のファイルに依存せず、.user.iniによるPHPローダーの自動読み込み、wp-content内に分散配置された複数の不審なPHPファイル、データベースに直接埋め込まれた暗号化ペイロード、テーマのfunctions.phpへの不正コード注入、不正なmu-pluginsや通常プラグインへの偽装、さらに対応環境ではサーバーの共有メモリ上への格納など、少なくとも数か所に自身の断片を同時に仕込むとされています。
これらの断片は互いを監視・復元し合う構造になっているため、見つかった不審ファイルを一つ削除しただけでは、別の断片から短時間で再生されてしまうと報告されています。
また、指令の受信方法にも特徴があるとされます。
単一の指令サーバーに通信するのではなく、公開されている約20個のイーサリアムRPCゲートウェイを経由して指令を受け取る仕組みが使われているとの報告があり、これにより特定のサーバーを遮断するだけでは攻撃者からの制御を断ち切れない可能性が指摘されています。
報道では、WordPressの管理画面上の表示やプラグイン更新チェックからも自身を隠蔽し、隠し管理者アカウントのログイン認証を偽造できるとされ、悪用例としては決済ページへの不正スクリプト（カード情報窃取）の設置や、他の不正プログラムの追加インストール、セキュリティプラグインの無効化などが挙げられています。
なお、この報告は特定のプラグイン・バージョンの脆弱性そのものを指すものではなく、何らかの経路（脆弱なプラグイン、漏えいした認証情報、脆弱なサーバー設定など）で一度侵害されたWordPressサイトに、この「SC」が持続化の手口として設置されるというものです。
各情報源の記載には細部で表現の違いがあり、Sucuri自身の原文は確認できていないため、本記事では複数の報道で共通して伝えられている内容を中心にまとめています。
対応策
現時点で明確な「この設定・バージョンが該当する」という条件は報告されていませんが、心当たりのある管理者の方は以下をご検討ください。
まず、サイトの動作に見慣れない不審な挙動（意図しないリダイレクト、管理画面に見覚えのないユーザーが存在する、決済ページの改変など）がないかご確認ください。
不審な点がある場合、ファイルを一つずつ削除するだけでは不十分な可能性が高いため、クリーンなバックアップからの復元や専門のマルウェア駆除サービスの利用、WordPress管理者・データベース・関連サービスの認証情報やAPIキーのローテーションなど、侵害を前提とした総合的な対応を検討することをおすすめします。
平時からの対策としては、プラグイン・テーマ・WordPress本体の更新を怠らないこと、管理者アカウントのパスワードや二段階認証の強化、定期的なファイル改ざんチェックが有効です。
まとめ
今回ご紹介した「SC」は、特定のプラグインの脆弱性というより、侵害された後にサイトへしつこく居座るための手口に関する報告です。
単純なファイル削除では対処できない可能性がある点には注意が必要ですが、まずは日頃からのアップデートや認証情報管理といった基本的な対策が、侵害そのものを防ぐ上で引き続き重要です。
サイトの挙動に不安がある場合は、早めの確認・対応をおすすめします。
参照元
- The Hacker News: WordPress Backdoor Rebuilds Itself After Cleanup Using Files, Database, and Shared Memory
- GBHackers: SC WordPress Malware
- Daily Security Review: Self-Healing WordPress Backdoor Defies Standard Removal
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
