企業サイト向けWordPressマルウェア除去チェックリスト

目に見えるスパムページや悪意あるファイルを1つ削除しただけで、WordPressの侵害が収まることはまずありません。攻撃者は通常、複数の足がかりを残します。隠れた管理者アカウント、改変されたプラグイン、ファイルを再作成するスケジュールタスク、あるいは全ページにコードを挿入するデータベースのエントリなどです。体系的なWordPressマルウェア除去では、各層を順番に処理し、その後に最初の侵入経路を塞いでサイトをハードニングします。このチェックリストでは、徹底したクリーンアップでカバーすべき範囲を説明します。作業の計画、事業者への説明、実施内容の確認にお役立てください。

何であるのか

マルウェア除去とは、WordPressのインストール環境とそのホスティング環境から、悪意あるコード、不正アクセス、持続化の仕組みを特定して取り除き、正常で信頼できる運用を回復するプロセスです。対象は4つの領域にわたります。ファイルシステム（コア、テーマ、プラグイン、アップロード、設定ファイル）、データベース（オプション、投稿、ユーザー、独自テーブル）、ホスティングアカウント（FTP/SFTPユーザー、cronジョブ、同じアカウント上の他のサイト）、そして外部サービス（DNS、CDN、メール、検索エンジンの掲載情報）です。作業が完了したと言えるのは、侵入経路を入手可能な証跡の範囲で特定し、塞いだ時点です。そうでなければ再感染の可能性が高くなります。

誰のために

このチェックリストは次のような方に役立ちます。

依頼する前に、適切なクリーンアップに何が含まれるかを理解する必要があるサイト所有者
クライアントサイトを保守しており、一貫したクリーンアップ基準を求める制作会社
以前に「クリーンアップ済み」とされたサイトが再び感染したチーム
事業者の報告書が関連するすべての層をカバーしているかを確認する必要があるマネージャー

明確にするのに役立つこと

チェックリストに沿って進めることで、次の点が明確になります。

インストール環境のどの部分を正常なコピーに置き換えられ、どの部分に手動レビューが必要か
隠れたユーザーやスケジュールタスクなどの持続化の仕組みが取り除かれたか
侵入経路は何だった可能性が高く、それが塞がれたか
再発の可能性を下げるために、どのハードニング手順を続けるべきか

含まれる内容

準備：現状の完全なバックアップを取り、それ以前のバックアップには手を付けず、日時を記録する
コアファイル：WordPressコアを公式ソースから取得した同一バージョンの新しいコピーで置き換え、サイトが安定したら最新リリースに更新する
プラグインとテーマ：信頼できる提供元から再インストールし、未使用のもの、開発が終了したもの、非公式な入手元のものは削除する
アップロードフォルダ：メディアのみが置かれるべき場所に実行可能ファイルがないかを確認する
設定：wp-config.phpや.htaccessなどのサーバー設定ファイルに、挿入されたルールやリダイレクトがないかを確認する
データベース：オプション、投稿、ウィジェットに挿入されたスクリプトや見慣れないURLがないかを検索する
ユーザー：すべての管理者と編集者を確認し、身に覚えのないアカウントを削除し、残りのパスワードをリセットする
スケジュールタスク：WordPressのcronイベントとホスティングのcronジョブに見慣れないものがないかを確認する
認証情報：ホスティング、データベース、SFTPの認証情報とAPIキーをローテーションし、WordPressのセキュリティソルトを再生成する
侵入経路：脆弱なコンポーネントを更新または削除し、脆弱なアクセスを修正し、ファイルパーミッションを正す
検証：再スキャンし、ログイン状態と匿名の訪問者の両方でページを確認し、検索エンジンやブラウザの警告について審査をリクエストする
ハードニング：管理者のMFAを有効にし、管理画面へのアクセスを制限し、更新を計画的に行い、ファイル変更の監視を設定する

含まれていないもの

訓練を受けていないスタッフが稼働中のサイトで作業するための、コマンドレベルのマルウェア除去手順
スキャンで何も検出されなければサイトはクリーンであるという主張
侵害の通知や責任に関する法的判断
別途合意がない限り、クリーンアップ後の継続的な監視

それを選ぶべきとき

初期の封じ込めを終え、現状のバックアップを取得し、主要なアカウントを管理下に置いた後に、このチェックリストを使ってください。事業者からクリーンアップ完了の報告を受けた際の受け入れチェックリストとしても役立ちます。どの項目を対象とし、何が見つかったかを確認してください。顧客の個人データ、決済データ、ログイン情報が漏えいした可能性がある場合は、プライバシーと法的義務の担当者に関与してもらってください。本記事は一般的な情報であり、法的助言ではありません。

私たちのアプローチ

外側から内側へ、そして正常と分かっているものから未知のものへと進めてください。置き換えられるものはクリーンなコピーに置き換え、レビューの時間は、独自テーマ、アップロード、データベースの内容など、サイト固有のものに充てます。変更はすべて記録してください。記録は関係者へのインシデントの説明に役立ち、その後の判断を裏付けます。検証が完了するまではサイトを通常のトラフィックに戻さず、ハードニングを後回しにせず作業の一部として計画してください。当社のIncident Recovery サービスは、封じ込め、悪意あるコード・バックドア・不正ユーザーのクリーンアップ、安全な復元、特定した侵入経路の封鎖を対象とし、報告書とハードニングの推奨事項を提出します。差し迫った問題が解決した後は、別途スコープを定めたWebサイトのハードニングにより、より広範な設定、更新の運用、アクセス制御に取り組むことができます。クリーンアップの報告書はサイトのドキュメントと一緒に保管してください。同様の事象が再び起きた際に役立ちます。

Incident Recovery

Incident Recoveryのサービスページを見る