必要な知識

マルウェアの駆除の仕方。知らないファイル0x.php 0xis.php l.phpとか。消せないファイルindex.php .htaccessとか

マルウェアの駆除の仕方。
知らないファイル0x.php 0xis.php l.phpとかがフォルダーの中にある。
消せないファイルindex.php .htaccessとかがフォルダーの中にできている。
マルウェアです。

手っ取り早く駆除する方法を解説します。

マルウェアを駆除する手順

マルウェアを駆除する手順は以下の通りです。

  1. 感染したサーバーがエックスサーバーでない場合
  2. エックスサーバーでのマルウェアの駆除の仕方
  3. WEBサーバーを停止してもらう
  4. (Start)マルウェア駆除の最初はすべてのファイルをダウンロードすることから
  5. メールアドレスとパスワードを記録
  6. 必要ならば、メールサーバーの一時移動
  7. すべてのドメインを削除する
  8. 初期提供のドメイン内のファイルをすべて削除する
  9. 起動プロセスの確認
  10. サーバー側に確認してもらいサーバーを公開
  11. ドメイン領域の設定
  12. サイトの復旧
  13. マルウェア予防

感染したサーバーがエックスサーバーでない場合

感染したサーバーがエックスサーバーでない場合の作業手順は、以下の通り。
  1. エックスサーバーを契約する
  2. (Start)マルウェア駆除の最初はすべてのファイルをダウンロードする
  3. メールアドレスとパスワードを記録
  4. ワードプレスが生きているなら migration でバックアップ
  5. ワードプレスが死んでいるなら「無料でやるワードプレスのバックアップ」
  6. エックスサーバーにドメイン領域を設定する
  7. ドメインのネームサーバーをエックスサーバーに設定する
  8. サイトの復旧(ワードプレスが生きている場合)
  9. サイトの復旧(ワードプレスが死んでいる場合「無料でやるワードプレスのリカバリー」)
  10. マルウェア予防

共通にしようと思ったけど微妙に違うので投稿を変えます。
→感染したサーバーがエックスサーバーでない場合のマルウェア駆除の方法

エックスサーバーでのマルウェアの駆除の仕方

エックスサーバーでのマルウェアの駆除の仕方は、基本すべてのドメインの削除・初期ドメインのファイルを削除です。
サポートがいろいろ言ってきますけど、要するに全ドメイン、全メール、全ファイルを削除してくれ。
つまり、完全にリセットしてくれということです。

彼らがそれをストレートに言えないのは、知識がないからです。
理由を説明できないからです。

WEBサーバーを停止してもらう

多くの場合、サーバー側から通知があります。
まず最初に、
「負荷がかかるプロセスがあったので原因と思われるファイルを停止（パーミッションを０００）にしました。
感染ファイルを削除してください。」
ときます。

これの作業はする必要ありません、即座にサーバーの公開を停止してほしい旨連絡してください。
ＷＥＢサーバーの公開を停止してもメールは生きてます。
※メールも削除する必要があるので、必要ならばバックアップして他のサーバーに退避させます。
※基本メールはメールサーバーを削除すれば、送信者に「送れませんでした」と返信が入ります。

もちろん、放置していてもすぐに次が来ます。
「感染ファイルを削除してください。サイトを閉鎖します。」「サイトを閉鎖しました。」

です、ファイル削除できないから必ずそうなります。
このやり取りは不毛です。
サポートは基本素人、ネットに関しては無知です。マニュアル通りにしか対応できません。
とにかく、「ファイルを削除するまでの間、サーバーの公開を停止してください」と依頼するだけです。

ほかのことを伝えても理解できませんから、話すだけ無駄です。

(Start)マルウェア駆除の最初はすべてのファイルをダウンロードすることから

サーバー上のすべてのファイルをバックアップします。
バックアップするツールは、FileZillaを使用します。
→FileZilla
なぜ、FileZilla を使うかといえば、ダウンロード中停止しないからです。
読み込めないファイルは読み込めないままダウンロードしてくれます。
NextFTPなどは、何度やってもそこで停止します。


読み込めないということは、いらないファイル、使えないファイルということになるので止まらずとにかくダウンロードしてくれよってことです。
それができるのが FileZillaです。

※NextFTPは、ローカルでのショートカット、ファイルの「簡易ビューア」がとても便利です。
それができるのがNextFTPしかないから使っていますけど、大量のダウンロードアップロードは失敗することが多い。
しかも遅い。さらに「配下のフォルダー・ファイルのパーミッション」を一括変更できない。（FileZilla はできる)
そのうえパーミッション００とかを書き換えることができません。

方針を決めるとかの場合はNextFTP、まともに大量ファイルを処理するならFileZillaです。
昔のバージョンのNextFTPは無敵だったんですけど、どうしちゃったんでしょうねぇ。


メールアドレスとパスワードを記録

ドメインを「削除」すると必然的にメールアカウントも削除されます。
メールアカウントが削除されたら当たり前ですがメールの送受信ができなくなります。

基本サーバーサポートとのやり取りは１日１回、もしくは２日に１回です。
その間メールが止まります。

復活時にもアカウント、パスワードが一致していなければ送受信できません。
そのためメールアカウント、パスワードを控えておきます。
パスワードわからないってときは、Beckyならば、「PasswordEye」といったツールで見ることができますが
忘れてしまってるなら、再設定しましょう。
→PasswordEye

だから、メール設定時メモ欄があるじゃないですか、そこのパスワード書いておくと便利です。
危険・・か？いやそうでもないと思うけど。まぁ、そういうことです。


必要ならば、メールサーバーの一時移動

一瞬でも途切れると困る。
これは当たり前にあることです。
でもサーバー側は知ったこっちゃありません。
「全部削除してください」です。

なので
  1. ドメイン削除前に新しくサーバーを１か月だけ借りる（激安サーバーでOK）
  2. エックス側のドメイン削除
  3. 即座に借りたサーバーにドメインを設定
  4. ネームサーバー切り替え
  5. 借りたサーバーにメールアカウントを設定

で逃げる感じ。
１カ月借りるサーバーは基本なんでもいいんですけど、本当に隙間なくということならエックスサーバーがいいです。
なぜなら、受信メールをバックアップできるから。

メールはここにあります。


当該ドメインの中の mailというフォルダー内。サブドメインなどのメールもここに入っています。


ここのフォルダー（当該ドメインのメール）全部をバックアップして、リカバリー時には、同じ場所へ上書きしてやればOK。
なので最初にサーバーをまるまるダウンロードしておくということになるわけです。
でも、様々作業している間にメールが入ってる可能性があるので、ドメイン削除直前にダウンロードして、すぐドメイン削除からのドメイン設定、メールアカウント設定のリカバリーって感じがベストです。


中はこんな感じ。


このファイルをダウンロードして、エックスのドメイン削除、新しいほうのエックスにドメイン設定、メールアカウント設定、同じ場所にダウンロードしたファイルをアップロード。
POP3,SMTPは書き換えないといけないですけど、ほぼ隙間なく受信できます。


すべてのドメインを削除する

メールの退避と前後しますけど、ドメインを削除します。
エックスサーバーでなかった場合は、メールはあきらめるしかありませんね。
サクラあたりだとメールサーバーまで見ることができたかもしれませんけど、そこはご自身で。。。
ファイル・フォルダーは、たぶん、OSが同じならいけるかも、少なくともファイルは同じ、問題はフォルダーですね。
ご自身でご確認ください。

だから、あれほどエックスに～！とｗｗｗ


初期提供のドメイン内のファイルをすべて削除する

ドメイン領域内のファイルは、「ドメイン削除」でなくなります。
そのうちドメイン領域まで作るマルウェアが出てくる可能性もいなめないけどｗｗｗ

ドメインは、削除で。


初期ドメインは初期化で。


更に初期ドメインは、メールサーバーやSSH等々のフォルダー内部をクリアしてあげないといけません、。

ひとつひとつフォルダーを開いて空っぽにします。
※中のフォルダーは削除しなくても大丈夫そうです。
※消しても多分大したことにならない。
※ここを確認したかったのですが、サポートはそんな知識すら持ちあわせていないので聞いても答えませんｗｗｗ


起動プロセスの確認

これ大事。
サポートは、ファイルが消えたかどうかしか確認しないので（できない）裏プロセスが動いていれば、同じことが起こります。
つまり、ドメインを復活させた時点で index.php や htaccess が復活する。

だから、テラタームで動いているプロセスを確認します。
SSHでログインするということです。

SSH（テラターム）でログインして「pgrep -u サーバーID -l -a」を入れるとこんな感じで現在あなたのサーバーIDで動いているプロセスが表示されます。
テラタームでのログイン方法はエックスのマニュアルを参照してください。
※サーバーIDは、ここにあります。

ここにも。



１、公開鍵を入手します。
→ サーバー上で公開鍵認証用鍵ペアの生成を行う場合気を付けてください。
わかりにくく書いてあります。

やるべきは、
1.ログイン後、「公開鍵認証用鍵ペアの生成」へ
2.「パスフレーズ」を入力し、「確認画面へ進む」をクリック
3.「生成する」をクリック
4.秘密鍵をPC上の任意の場所に保存
までです。

そこから下は、基本的にあなたには関係ありません。
マニアックな知識を持った方のための説明です。
もちろん、サポートも意味わかってませんｗｗｗ

次に、テラタームをダウンロードしてきます。
→テラターム
v４系とかv５系とかありますが、あなたのマシンに合わせてください。マックユーザーは知らないｗｗｗ
仕事はＷｉｎｄｏｗｓでしょう、マックはあくまでも趣味マシン。反対意見は認めますｗｗｗ
でもマックはIマックが最後でもう使ってませんので知りません。
なのでご自身で調べてください。
確か似たようなものがあったような気がします。

それからログイン
→テラタームのログインの仕方
まぁ、テラタームに起動をかけたら、「3.必要項目の入力」の画面になります。
なので、そこのポートに 10022 を設置すると「4.必要項目の入力・選択」になります。
あとは、「5.接続完了」になります。

で、pgrep -u サーバーID -l -a をいれると次の画像のような感じ。
めまいするね？ｗｗｗ

でも php -f ～というのが動いてなければＯＫということに。
動いていたら kill プロセスＩＤ
でＯＫ。
最初の php -f は、 11183 になってるね？
なので kill 11183 と入れます。

php.ini も動いていたりするけど、ドメイン消してるのに php.iniが動いているのはおかしい。
よって、これらもプロセス削除してOK。
許してよさげなのは、IDLEぐらいかな？
実際問題私はそれしか残さなかった。


サーバー側に確認してもらいサーバーを公開

ドメインもファイルも削除、プロセスも削除。
それが終わったら「チェックしてサーバー公開してくれ」ってサポートへ連絡。
１両日で公開しましたってメールが入るはず。

そうなったら、いよいよ復旧作業開始です。

サーバーの復旧作業

ここにきて忘れたものを思い出しても時すでに遅しなのです。
頼りになるのは、フルバックアップのデータだけです。

復旧作業手順は以下の通りです。
  1. ドメイン領域の設定
  2. サイトの復旧
  3. マルウェア予防

ドメイン領域の設定

真っ新の状態のサーバーになってますので、ドメインの設定を行います。
いまさらとは思いますけど、サーバーのパネルからドメイン設定

ドメインの追加

ドメインの設定追加

メモには特に書くことないですね。
記念に日付を入れてもいいかもしれませんけど（笑）

で、認知されるまで1時間余り。
同時にSSLも設定になりますけど、タイミングがずれることがあってSSLの取得に失敗することがあります。
その場合は、めげずにドメインが認知された時点でSSLを設定してください。

で、忘れずにメールアドレスの設定です。

メールアカウントの追加
メールアカウントの設定


メールアカウントを追加するドメインの選択


メールアカウント追加


メールアカウントを設定して追加します。
この時メモ欄にパスワードを書いておくと後々便利です。
インターネットを初めてから今まで１回もパネルからパスワードとか盗まれたことがないから問題ないと思います。保証はできませんけど（笑）


サイトの復旧

サイトの復旧です。
基本的にデータベースは無事のようなので以下の手順で作業を進めます。

  1. ワードプレスのスクリプト(plugins/の中を空っぽにして)をアップロード。
    ここも間違ってほしくないのは、フルバックアップしたスクリプトとか使わないでくださいよ。
    最新のものをダウンロードしてきて解凍してアップロードします。
    →ワードプレスのダウンロード
  2. フルバックアップの中から、当該ドメインの「uploads」の中身を検査（知らない画像、表示できない画像、PHP、htaccess などを削除)。
  3. フルバックアップの中から、検査済み「uploads/」を上書き。
  4. 通常通り、ワードプレスの設定を行いますが、フルバックアップの中から当該ドメインの wp-congif.php を参照しながらデータベースを設定します。
  5. フルバックアップの当該ドメインの中の「plugins/」を参照しながら、プラグインをダウンロードする。もしくは、ワードプレス設定後に「真新しいもの」をインストールする。


ワードプレスのスクリプト(plugins/の中を空っぽにして)をアップロード。
空っぽにした wp-content/plugins/


ワードプレにスクリプトをアップロード。
なるべく同じバージョンのものがいい。なければ、無理にとはいわないｗ


フルバックアップの中から、当該ドメインの「uploads」の中身を検査（知らない画像、表示できない画像、PHP、htaccess などを削除)。

検査済みフルバックアップの中から「uploads/」を上書き。


通常通り、ワードプレスの設定を行いますが、フルバックアップの中から当該ドメインの wp-congif.php を参照しながらデータベースを設定します。

ワードプレスのデータベースの設定

フルバックアップの中から wp-config.php を参照

接続に成功すると

というか、「インストール実行」をすると、データベースは生きてるのでこうなります。

あとは、ログインするだけ。
まさかユーザー名、パスワード忘れてませんよね？ｗ


フルバックアップの当該ドメインの中の「plugins/」を参照しながら、プラグインをアップロードする。もしくは、ワードプレス設定後に「真新しいもの」をインストールする。
フルバックアップの当該ドメインの中の「plugins/」を参照しながら、プラグインをアップロードする。
これ、ファイル名（フォルダー名）から推察するのって結構難儀なんですわ。
一応フォルダー名で検索をかけると大体は出てきますけど、出てこない奴もあるので・・・せめてなんのプラグインかだけでもわかれば代替品を入れておけます。

これさえわかれば、持ってきて解凍して wp-content/plugins にアップロード、もしくは「新規プラグインを追加」で入れられます。
手がかりはフルダウンロードのプラグインフォルダーです。

でも、間違ってもフルバックアップのファイル/フォルダーはアップロードしないでください。
これ絶対！だから！今までの苦労が水の泡になる可能性が極めて高い。
その苦労と安全性を考えるならば、フォルダー名からプラグインを探す手間のほうがあきらかに安全かつ早い。


マルウェア予防

「マルウェアの駆除の仕方。知らないファイル0x.php 0xis.php l.phpとか。消せないファイルindex.php .htaccessとか」まとめ

マルウェアの予防策は、ない。

でもまぁ、少なくともワードプレスの wp-login.php は、隠したい。
うちは、自分のIPアドレスをファイルにしてサーバーにアップ。

wp-login.php の最初にそのIPを今呼び出したIPが一致してるか調べるように改造している。

こんな感じ
0001  $ip = $_SERVER['REMOTE_ADDR'];
0002  $check = 0;
0003  $ipa_file = dirname(__FILE__).'/wp_ip_lock_ipa.cgi';
0004  $fp = fopen($ipa_file,"r");
0005  while ($line = fgets($fp)) {
0006   $lines = explode('<>',$line);
0007   if($ip==$lines[0]){
0008    $check = 1;
0009    break;
0010   }
0011  }
0012  fclose($fp);
0013  if($check==0){
0014   exit;
0015  }
0016 //--/YUZU


それとインストール系の wp-admin/plugin-install.php , wp-admin/theme-install.php は、使うときだけアップロードするとか。


で、再インストール、復旧の準備を抜かりなく。
オリジナルのプラグインを使ってます。

それは、ダッシュボードにメモを書き残すプラグインなんです。
これ、書き込むたびに、その時のphp のバージョンとかワードプレスのバージョン、使ってるテーマ、プラグインのリストをファイルとして残すんです。

なので　upload/ とかをフルバックアップすれば、そのメモも一緒にダウンロードされてることになるわけで。
それを見ながら復旧することができるってことなんですわ。

それと複数個サイトを持ってると、それぞれのカスタマイズややったことなどを書き残しておくことができてとっても便利。

ゆずまるのダッシュボードメモプラグインは
こちらから→ゆずまるのダッシュボードメモ
ということで、なるべく感染しないようにしつつ、感染した時の準備もしておくわけです。


この書き込みが、あなたのネット生活の一助になれば幸いです。


スポンサードリンク

関連記事一覧