ハッキングとの闘い顛末

先日記事にしたサイト改竄被害に関してですが、ブログの更新を見送り復旧作業に専念した結果、ようやく落ち着きを取り戻しましたので更新を再開させていただきます。本ブログに関しては被害は少なかったものの、先日も書いた通りランニングブログの方の被害は甚大でした。今回はその顛末を書いてみたいと思います。

被害の内容

侵入経路等は不明なままですが、Wordpressのトップページである「index.php」というファイルが改竄されるというものでした。通常、index.phpは以下のような記載がされています。

Wordpresのプログラムファイルなどの在り処を指示していますが、改竄されたindex.php はこんな冒頭がこんな感じに改竄されていました。

巧妙なのはハッシュ(暗号)化され、すぐには改竄内容がわからないようになっていることです。時系列に経緯を書いていくと以下のようになります。

時系列の経緯

最初の被害発覚

この時は、これですべてが完了したと思っていましたので、そのほかの対応をすることはありませんでした。今にして思えばこの時にしっかり対応していれば被害の拡大を防ぐことができたかもしれません。

本ブログでの被害

今にして思うと発生した事象も異なりますし、被害の範囲も異なりますので、ランニングブログとは別の種類のハッキングだったように思います。それにしても以前に3～4年運用費していたレンタルサーバではこのような事案はありませんでした。しかしGMO系のサーバに移転して1年足らずで、このような事案が立て続けに起きると、次の更新ではまた他のサーバに移ることを考えさせられます。

ランニングブログの被害深刻化

ここへきてもぐらたたき状態に陥ります。移転先のサーバでも同じ現象が発生したのは問題は削除したディレクトリやファイルだけではなく、下位階層のディレクトリにも改竄が及んでいたようです。

バックアップからリストアしましたが、バックアップデータにも改竄プログラムが混入していたのでしょう。

仮サーバへ再移転

新規インストールから環境を構築しましたので、問題のあるプログラムの混入の可能性はほぼゼロと言えるはずです。この状態で1週間ほど様子を見てみる事にします。

ただしこの時用意したサーバは無料という事もあり強制的に、広告が表示されるものとなっていました。やはり広告は非表示にしたいので、1週間ほどかけて広告が表示されないサーバを探すことにします

本サーバへ再移転

仮運用の1週間ほどの間、問題が起きることはありませんでした。そこで今後、ランニングブログの運用を行うサーバに正式移転を行いました。これでいちれんの騒動はひとまず収束したものと思われます

今後の予定

本ブログを運用しているサーバの契約期間は8月までとなっております。それまでの間に本ブログの運用サーバに関しても移転先を探して移転という事になりそうです。