ファイル・DB・共有メモリから自己修復するWordPressバックドア「SC」が確認される――ブロックチェーン経由でC2通信も

要点

• セキュリティ研究者が、ファイルやデータベース、メモリから自律的に復元を繰り返すWordPress向けバックドア「SC」の分析結果を公開した。

• ペイロードはテーマやキャッシュファイル、共有メモリなど少なくとも8箇所に分散配置され、互いを再構築し合う「自己修復メッシュ」を構成している。

• サーバーのRAM（System V共有メモリ）を活用してディスクやデータベースのクリーンアップを回避し、システムcronによって定期的に再感染を実行する。

• 攻撃者はイーサリアムブロックチェーンを通じてC2通信を行い、隠し管理者アカウントの作成や任意のコード実行、訪問者向け不正スクリプトの注入などを行う。

• WordPressサイトを標的とし、管理者による駆除作業を行っても自律的に復活を繰り返す高度なバックドア型マルウェアが確認された。セキュリティ企業Sucuriの研究者が2026年10月1日に調査結果を公開したもので、注入コード内の識別子にちなんで「SC」と命名されている。攻撃者は複数の永続化機構を組み合わせることで、一度の侵入から再感染なしにサイトの制御を恒久的に維持する仕組みを構築していたという。

8箇所に分散して相互修復する「自己修復メッシュ」

Sucuriの報告によると、マルウェア「SC」は検出を回避するため関数名に可読な文字列を用いず、換字式暗号（文字を別の文字に置き換える暗号方式）を独自のデコーダーで復号して実行する構造を持つ。最大の特徴は、システム内の複数箇所が互いを修復し合う「自己修復メッシュ」と呼ばれるアーキテクチャにある。

Sucuriのセキュリティ研究者であるGabriel Barbosa氏は、「ペイロードはファイル、データベース、共有メモリなど少なくとも8箇所に同時に存在し、そのすべてが他のコンポーネントを再構築できる」と述べている。プラグインを削除してもドロップインファイル（WordPressの標準動作を拡張する特別なPHPファイル）がそれを再生成し、ドロップインを削除してもテーマファイルが復元する。さらにディスク上のファイルをすべて削除した場合でも、次回のページ読み込み時にデータベースや共有メモリからすべてのファイル群が再展開されるため、単一の削除では駆除できない循環構造になっているという。

調査によって判明した8つの主要コンポーネントは以下の通りである。

• .user.ini: PHPの設定である auto_prepend_file を指定し、該当ディレクトリ内のすべてのPHPリクエスト実行前にローダーを自動実行させる。
• wp-content/c1b12371.php: 同一ディレクトリ内に存在する隠しドットファイルをインクルードするローダーとして機能する。
• wp-content/.c1b12371.php: 第1ステージのローダーとなるドット付き隠しファイル。プラグインフォルダ内のコピー、キャッシュディレクトリ内の暗号化スタブ、ランダムな16進数名を持つZIP復元バンドルの3つのソースから偽プラグインを特定し、必須プラグイン（mu-plugins）領域に再構築する。
• wp-content/db.php: WordPressの起動処理中に読み込まれるファイル。Base64でエンコードおよび圧縮されたバックドアペイロード全体を保持し、プラグインの欠損やファイルサイズの縮小を検知した際にデコードして再展開する。
• wp-content/advanced-cache.php: キャッシュ有効時に通常のプラグインよりも先に読み込まれるファイル。既存のmu-plugin、プラグインのコピー、共有メモリ、ZIPバンドル、データベースの5つの独立したソースからプラグインを再構築し、プラグイン読み込みフック（plugins_loaded）に登録して実行する。
• wp-content/themes/khorshidi/functions.php: テーマ内に設置された db.php の複製。同一のバックドアペイロードを保持し、プラグインが存在しない場合に書き戻しを行う。
• wp-content/mu-plugins/hyper-engine-kit.php: 必須プラグイン（mu-plugins）および通常プラグインの両方としてインストールされるマルウェア本体。
• wp-content/plugins/hyper-engine-kit/hyper-engine-kit.php: 冗長性を確保するために配置された同一のバックドアペイロード。

共有メモリの悪用とcronによる自動再感染

「SC」の特異な点として、RAM上に確保されるSystem V共有メモリ（プロセス間でデータを共有するためのメモリ領域）の悪用が挙げられる。マルウェアは固定の数値キーで識別される共有メモリセグメントにPHPペイロードを書き込む。このセグメントはメモリ上に存在するため、ディスク上のファイル削除やデータベースのクリーンアップを行っても消去されず、共有サーバー環境では別のアカウントが所有している状態になるケースもあるという。

また、再感染の自動化にはWordPressのcron機能（スケジュール実行機能）が悪用されている。マルウェアはランダムな名前のフックや特定の取得フックを登録し、サイト訪問者のアクセスに依存することなく、サーバー側のシステムcronからWordPressのcronスクリプトを直接実行させることで、決められたスケジュール通りに再展開処理を走らせる仕組みを備えている。

ブロックチェーンを利用した遠隔制御と侵害機能

バックドアが起動すると、管理画面のプラグイン一覧やアップデートの更新確認から自身の存在を隠蔽する処理が行われる。さらに感染サイトの構成情報を収集（フィンガープリンティング）して追加のペイロードを取得するほか、隠し管理者アカウントを作成して永続的なアクセス権を確保する。

攻撃者が指示を送るC2（コマンド＆コントロール）サーバーとの通信には、イーサリアム（Ethereum）ブロックチェーンのインフラが利用されているという。これにより、攻撃者は外部からサイトを遠隔操作し、任意のPHPコードを実行したり、特定のセキュリティプラグインを無効化・削除したりすることが可能となる。また、任意のJavaScriptコードをサイトに注入して訪問者をスキマー（クレジットカード情報などの窃取ツール）や別のマルウェアへ誘導する攻撃も実行できる状態になる。

想定される侵入経路

今回確認されたマルウェアがサイトへ最初に侵入した具体的な経路については、現時点では特定されていない。ただし、WordPress環境における一般的な侵入手法としては、WordPress本体やプラグイン、テーマに存在する既知の脆弱性の悪用、推測が容易な管理者パスワードに対する攻撃、正規プラグインを標的としたサプライチェーン攻撃、および画像やフォームのアップロード機能の不備を突いたWebシェルの設置などが挙げられている。

なお、今回のマルウェアの開示と同時期には、フォーラム作成プラグイン「wpForo Forum」において認証不要で悪用可能な深刻なSQLインジェクション脆弱性（CVE-2026-1581）が確認されるなど、WordPress周辺の脆弱性を狙った攻撃への警戒が続いている。