サーバーウィルス

質問

お世話になっております。

実はLINUXサーバー内でウィルスらしきものが発見されました。
見たこともないPHPファイルが複数できており、既存のPHPファイルにも改竄が発見されました。

内容は「w57544298n.php」などの乱数文字列のPHPファイルで

------------------------------------
<?php $auth_pass="";
$color="#df5";
$default_action="FilesMan";
$default_use_ajax=true;
$default_charset="Windows-1251";
preg_replace～～～　圧縮された文字列

------------------------------------

グーグルなどで検索したところ、どうやらワードプレスの脆弱性をついたウィルスらしいのですが、
私のサーバーにはワードプレスは入っていません。

ただ、心当たりがあるのは、私が管理しているサーバーに、別の会社（デザイン会社）が作ったJSなどをアップロードしており、そこはワードプレスを使っています。

また、私の管理しているサイトも、デザイン会社が管理しているワードプレスのサイトとAJAXなどで
やり取りしています。

このウィルスの感染経路を特定したいのですが、FTPログやAPACHEのアクセスログを見ていますが
みつかりません。

JSファイルなどから感染するような事はあるのでしょうか？

因みにサーバーは

CentOS 5.4です

アドバイスを頂けると幸いです

回答No.1

localica

JSインジェクションは閲覧者に悪意あるプログラムをペイロードさせるのに良くつかわれる手法ですが、サーバーサイドの改ざんには向きません。

サーバーサイドを改ざんするには不正アクセスの他に、SQLインジェクションやPHPの脆弱性が使用される可能性の方が高いと思います。
データーベース入力や掲示板、ファイルのアップロードなどが実装されていませんか？

ご懸念のワードプレスは、脆弱性の他に、素姓の知れないテンプレートやプラグインから感染することもあります。以前、改ざんされたjqueryを見たこともあります。
使用しているソースはきちんと目を通して、フリーを謳ったダウンロードのソースはちゃんと調べる方が良いと思います。

>私の管理しているサイトも、デザイン会社が管理しているワードプレスのサイトとAJAXなどで
やり取りしています

クロスドメインの可能性もありますね。