Amyさん

只今電車移動中で、スマホからなので、あまり調べることができません。

投稿者:: @amy

↑

自身のブログで身に覚えのない投稿がなされていたことに気づき、ユーザーをチェックしたところ、同じく身に覚えのないユーザー名が表示されていたので、これらのユーザー名を削除しました。また、同じく身に覚えのないプラグインがいくつかありましたので、こちらも削除

上記は、悪意のある者による改ざんを、強く疑います。

また、以下のプラグイン、同名のものが2つありますが・・・。

投稿者:: @amy

↑

Advanced LinkFlow Control 1.6.2
Advanced LinkFlow Control 1.2.5

これ、AIの回答は以下です。（複数回の改ざんを疑います）

 ｍｋ２さま

　ありがとうございます。プラグインの一覧に、Advanced LinkFlow Control 1.6.2　と　Advanced LinkFlow Control 1.2.5　はありませんね。あやしいですね…。

Amyさん

マルウェア等を植え付けられている可能性が高いと思います。

これらの除去が先かと思います。

最低でも、セキュリティプラグイン等のスキャンはするべきかと思います。

それで100%と言えるかどうかはありますが。

それらをしないと、いくら修正しても、また改ざんされるのではないかと、思ってしまいます。

（過去にも改ざんされているかと思いますが、セキュリティプラグイン等がないのは、気になりますね）

ｍｋ２さま

　ご連絡ありがとうございます。ＡＩも活用しながら確認したところ、感染しているようでした。

　Ｘサーバーさまに詳しい状況をお伝えし、助言を受けながら対処したいと思います。

　２度目のハッキングです。学習効果がなく、お恥ずかしい限りです。

Amyさん

投稿者:: @amy

↑

Advanced LinkFlow Control 1.6.2
Advanced LinkFlow Control 1.2.5

上記に関する記載のあるサイトです。

Fake Plugin - Advanced LinkFlow Control
https://dev.to/md_pabel_fe07e07449db7326/fake-plugin-advanced-linkflow-control-i2c

冒頭に、以下のようにあります。

Technical Analysis

　
I found that the "Advanced LinkFlow Control" plugin disguises itself by removing its entry from the WordPress plugin list. It does so using a filter to eliminate itself when the 'all_plugins' hook is triggered unless a specific request parameter ('sp') is present.
　

　
技術的分析

　
「Advanced LinkFlow Control」プラグインは、WordPressのプラグイン一覧から自身の項目を削除することで、自身の存在を隠蔽（偽装）していることが判明しました。このプラグインは、特定の要求パラメータ（'sp'）が存在しない限り、'all_plugins' フックがトリガーされたときにフィルターを使用して自身を排除する（一覧に表示させない）処理を行っています。

上記の通りなら、プラグイン一覧を偽装して、隠れていますね。

以下も気にはなるのですが、似たようなものはあっても、一致するものがなく、私には分かりませんでした。

投稿者:: @amy

↑

Content Sync Helper 1.0.6

ご自身で、意図してインストールしたものなら、大丈夫だとは思います。

ｍｋ２さま

　ＡＩによりますと、いずれも不正ファイルとのことです…。

こちらでも公開されているページを確認してみました。ｍｋ２さんのおっしゃるように、まずは不正アクセスや改ざんへの対応を優先していただくのがよいと思います。

確認した範囲では、親テーマのstyle.cssはCocoon 2.9.5のものと一致しているようでした。また、ヘッダーのロゴやメニューのHTMLも出力されており、単純にヘッダー表示に必要なプラグインがなくなった、という状況ではないように思います。

一方、さきほど確認したトップページのHTML末尾には、ブログの内容とは関係のない、外国語のオンラインカジノの宣伝文や多数の外部リンクが見受けられました。身に覚えのないユーザーや投稿が追加されていたことも合わせると、サイトが改ざんされている可能性が高いと思います。

Advanced LinkFlow Controlについては、ｍｋ２さんが紹介されている解析報告に、管理画面のプラグイン一覧から自分自身を隠す仕組みが示されています。Cocoonの環境情報は通常のプラグイン一覧とは取得方法が異なるため、「環境情報には出るのに、プラグイン一覧には出ない」という状態は、この仕組みで説明できると思います。これらはCocoon標準のヘッダー表示に必要なプラグインではありませんので、表示を戻すために再インストールする必要はないと思います。

ただ、外部からの確認だけでは、侵入経路や、ヘッダーの表示崩れに直接影響している箇所までは特定できませんでした。また、不審な内容がキャッシュに残っている可能性もあるため、現在も不正な処理が動いているかどうかは、サーバー上の調査が必要だと思います。

エックスサーバーへご相談される際は、今回確認できた「公開ページへのカジノ宣伝の混入」もお伝えいただくと、状況が伝わりやすいと思います。対応は、次の順序でご相談いただくのがよいかと思います。

1. 削除や初期化の前に、調査用として現在のファイル・データベース・ログを保存する方法を確認する。正常だった時期の復旧用バックアップとは分けて保管してください。
2. サーバー上の不審なプラグインやファイルを調査・除去し、侵入原因への対処と、関連するパスワードなどの見直しを進める。ご自身での判定が難しい場合は、復旧を専門に扱う方への依頼もご検討ください。
3. 調査・復旧後にWP Fastest Cacheなどのキャッシュを削除し、不審な内容が再び出てこないか確認する。その後も表示崩れが残る場合に、テーマ設定や子テーマ、追加CSSなどを切り分ける。

記事データを残して復旧できる場合もありますので、サイト全体を初期化する前に、残せるデータと復旧方法をご相談いただければと思います。エックスサーバーにも、不正アクセスを受けた場合の対処方法が案内されています。

エックスサーバー：不正アクセス（ファイルの改ざん、不正なファイル設置）について

お手数をおかけしますが、サポートの案内に沿って対応をお試しいただき、結果をお知らせいただけますと幸いです。復旧後もヘッダーの表示が直らない場合は、その時点の状態で改めて確認できればと思います。

Amyさん

わいひらさんが仰っているのは、以下のようなことかも。

わいひらさま、 ｍｋ２さま

　ご助言などありがとうございました。

　Ｘサーバー様とのやりとりを踏まえ、いくつかの不正なファイルを削除しました。

　プラグインのうち、以下のものは不正に埋め込まれたものでした。

　Advanced LinkFlow Control 1.6.2
　Advanced LinkFlow Control 1.2.5
　Content Sync Helper 1.0.6

　一部の不正ファイルは削除してもうすぐに復活する状態でしたので、Ｘサーバー様に不正ファイルを含むフォルダをフォルダごと削除していただきました。その後は復活しなくなりましたので、とりあえずは様子をみたいと思っています。

　おかしくなっていたヘッダーも自然と元に戻ったようです。

　ただ、ページの右側に設置していた検索、自己紹介、メニュー一覧、最近の投稿、アーカイブなどの表示が消えているようです。不正アクセスの影響なのか、また別の理由なのか分かりませんが。

投稿者:: @mk2_mk2

↑

駆除・除去後は、セキュリティ対策もなさってください。

（今後同様のことを発生させるリスクを下げる。過去改ざんされたご経験がありながら、セキュリティ系のプラグインがないのは・・・）

　ｍｋ２さま。お恥ずかしい限りです。「セキュリティ系のプラグイン」があるとのこと。適切なプラグインをご紹介いただけましたら幸いです。

　取り急ぎの報告でした。

投稿者:: @amy

↑

「セキュリティ系のプラグイン」があるとのこと。適切なプラグインをご紹介いただけましたら幸いです。

候補の一つとして「Wordfence Security」あたりがよいかと思います。
ファイルのスキャン、ファイアウォール、ログイン時の二要素認証などに対応しています。
https://wordpress.org/plugins/wordfence/

あと、マルウェア対策として、Anti-Malware Security and Brute-Force Firewallプラグインもおすすめです。
https://ja.wordpress.org/plugins/gotmls/

併せて、エックスサーバーの「WordPressセキュリティ設定」や「WAF設定」、管理者アカウントの二要素認証についても確認されるとよいかと思います。プラグインの導入後も、WordPress本体・テーマ・プラグインの更新を続けていただければと思います。

@yhiraさま

　ご助言ありがとうございます。導入してみたいと思います。

みなさま

　たびたびすみません。前にも記載しましたように、不正アクセスによる不具合に気づいた時点で、ページの右側に設置していた検索、自己紹介、メニュー一覧、最近の投稿、アーカイブなどの表示が消えていました。こちらも不正アクセスの影響という可能性もありますでしょうか。単に不正ファイルの削除などの過程で消えてしまったということもありますでしょうか。併せてご見解、ご助言をいただけましたら幸いです。

不正アクセスした人が何をしたか、マルウェアだった場合はどのような操作をするマルウェアだったかは、こちらでは窺い知ることができないため、恐れ入りますが、わからないとしか言えないです。
不正アクセスされていたわけなので、可能性はあると思います。

ウィジェット画面の左下にある「利用停止中」のウィジェットエリアにもないんですよね？

@yhira さま

　ご返信ありがとうございます。ウィジェットの欄を確認したところ、添付のようになっていました。

　サイドバーに表示させたいブロックを入れているようですので、通常であればサイドバーが表示されているはずなものでしょうか。

　使用停止中のウィジェットには目次やボックスメニューが入っていました。

@yhira さま

　今ひとつ、ご助言をいただけましたら幸いです。

 　先日のご助言を踏まえ、Wordfenceを導入し、スキャンをしたところ、以下のようなアラートが届きました。

致命的な問題:

* ファイルが悪意のある、または安全でないように見えます: wp-content/themes/cocoon-child-master/tmp-user/footer-insert.php

　別ドメイン上の同じファイルと比べると、更新日時とサイズが異なり、怪しいと言えば怪しい感じがします。

　この点、Ｘサーバーのサポートに伺ったところ「弊社の検知によりサーバー上で不正なファイルとして確認できた」ものには含まれておらず、「弊社では「不正プログラムと思われるファイル」かどうかを判断できない状況でございます」とのこと。「更新日時やサイズが異なるという点のみでは、不正なファイルかどうかを判断することができません。また、弊社ではWordfenceの診断内容やテーマの個別のプログラムを解析しておりませんため、当該ファイルの安全性についてもお答えすることができず、恐れ入りますが何卒ご了承ください」とのご回答でした。

　また「基本的には、不正と思われるファイルを削除し、改ざんされていないクリーンなファイルをあらためて設置いただく対応が有効でございます。テーマのファイルであれば、提供元の配布サイトから最新のファイルを入手してご利用いただく方法がございます。」との指摘もありました。

　このとおり、Cocoonの最新のファイルをダウンロードし、安全でない可能性のある上記のファイルを削除したうえで、新たにダウンロードしたものから同じファイルをアップロードして置き換える措置がとりあえずの手当となりますでしょうか。

　もちろん他にも不正が埋め込まれている可能性がありますので、究極的にはドメイン自体を初期化するのが最も安全かとは思いますが。

投稿者:: @amy

↑

　ご返信ありがとうございます。ウィジェット　ご返信ありがとうございます。ウィジェットの欄を確認したところ、添付のようになっていました。

　サイドバーに表示させたいブロックを入れているようですので、通常であればサイドバーが表示されているはずなものでしょうか。の欄を確認したところ、添付のようになっていました。

僕が言っているのは、使用停止中のウィジェットエリアのことです。そこに表示されなくなったウィジェットが入っていないか、確認していただきたいということです。

投稿者:: @yhira

↑

ウィジェット画面の左下にある「利用停止中」のウィジェットエリアにもないんですよね？

投稿者:: @amy

↑

　このとおり、Cocoonの最新のファイルをダウンロードし、安全でない可能性のある上記のファイルを削除したうえで、新たにダウンロードしたものから同じファイルをアップロードして置き換える措置がとりあえずの手当となりますでしょうか。

当サイトのダウンロードページから子テーマをダウンロードし、そのファイルを差し替えても良いかと思います。

投稿者:: @amy

↑

致命的な問題:

* ファイルが悪意のある、または安全でないように見えます: wp-content/themes/cocoon-child-master/tmp-user/footer-insert.php

気になるようでしたら、こちらのファイルと次のリンクの中身を見比べて、違いがないか確認してみるとよいかと思います。
こちらは、上記の元ファイルの内容です。
https://github.com/xserver-inc/cocoon-child/blob/master/tmp-user/footer-insert.php

@yhira さま

　ご返信ありがとうございます。

　すみません、当初写真を２枚以上貼り付ける方法がよくわからなかったもので、サイドバーのエリアの写真のみ添付して送ってしまいました。使用停止中のエリアの写真も併せて添付したかったのですが。

　ご指摘のあった使用停止中のウィジェットエリアにつきましては、先日の投稿の最後に書きましたように、目次やボックスメニューが入っていました。

投稿者:: @amy

↑

使用停止中のウィジェットには目次やボックスメニューが入っていました。

　ただ、これらの目次やボックスメニューは当初からサイドバーには含まれていなかったと記憶しています。

　現在もサイドバーのエリアに含まれている検索やプロフィールは、不正に遭う前の時点では画面右側に表示されていました。現在もサイドバーのエリアに含まれている状態にもかかわらず、画面右側に表示されていない状態です。

　分かりにくい投稿で大変失礼いたしました。

@yhira さま

　こちらもご返信、ご助言ありがとうございました。

　当該ファイルをＡＩに解析させたところ、改ざんが確認されました。「あなたのブログのページにカジノ関連の文章・リンクを大量に埋め込み、検索エンジンにそのリンクを認識させる」という細工がされていたとのことです。

　とりあえず削除をいたしました。ただいまＦＴＰソフトを使用できない環境におりますので、数日後に新しいきれいなファイルで差し替えたいと思います。

　よくわかっておりませんが、サイドバーの不具合もこの改ざんの影響ということも考えられますでしょうか。修復後にＡＩの助けも得ながら検証したいと思います。

投稿者:: @amy

↑

　よくわかっておりませんが、サイドバーの不具合もこの改ざんの影響ということも考えられますでしょうか。

攻撃者がどんなことをしたかまでは、第三者視点ではわからないとしか言えないです。

泥棒が家に入って、身に覚えのないことが起こっていたとき、それは泥棒の仕業かもしれないと推定することはできますが、確実とは言えません。例えば、何らかの手違いで自身が間違ってやってしまった可能性もありますし、何かの不具合かもしれません。なので、恐れ入りますが、わからないとしか言えないです 😓 

@yhira さま

　ご連絡ありがとうございます。不正ファイルは検知されなくなりましたが、サイドバー不表示の原因はＡＩの解析でも分かりかねたので、ドメインを初期化してきれいなファイルを入れ直しました。サイドバーも無事に表示されました。お騒がせしました。