Russified Wordpressテーマの不快な驚き。 自分で読んで、他の人に警告する

ブロガーから送信されたスパムのサンプルを見ると、次のサイトに出会いました。

• wptheme.ru
• wptheme.us
• wpbox.ru

ドメイン名は、Wordpressの頭字語と疑わしく一致しているようです。 リンクをたどったところ、わかりました。確かに、このトピックの「ホワイト」サイトのようなものです。



しかし、それほど単純ではありません。 このサイトでは、Wordpress用のRussifiedテーマをダウンロードできます。 これらのトピックのいくつかをダウンロードして、コードに登りました。 ページの「フッター」の形成を担当するfooter.phpファイルで、次の暗号化されたフラグメントを見つけました。



<? echo(base64_decode("0JvQvtC60LDQu9C40LfQsNGG0LjRjyA8YSBocm

VmPSJodHRwOi8vd3B3b3JsZC5ydSIgdGl0bGU9ItCc0LjRgCBXb3JkcHJlc3MiIHRhcmdld

D0iX2JsYW5rIj7QnNC40YAgV29yZHByZXNzPC9hPi4g0KLQtdC80LAg0L/QtdGA0LXQst

C10LTQtdC90LAg0L3QsCDRgdCw0LnRgtC1IDxhIGhyZWY9Imh0dHA6Ly93cHRoZW1lc

y5ydSIgdGl0bGU9ItCi0LXQvNGLINC00LvRjyBXb3JkcHJlc3MiIHRhcmdldD0iX2JsYW5rIj

7QotC10LzRiyDQtNC70Y8gV29yZHByZXNzPC9hPi4="));?>







しかし、それだけではありません。 これらの感染したWordpressテーマをさらに調査しに行きました。 メインページの形成を担当するindex.phpファイルを開きます（他のトピックでは他のファイルに「ブックマーク」がありました）。 父は聖なるものだ、私が見ているもの！



<?php $str = 'PGEgaHJlZj0iaHR0cDovL3d3dy53cHRoZW1lLnVzIiB0aXRsZT0i0KLQtdC80Ysg0L

TQu9GPIFdvcmRwcmVzcyI+OjwvYT4='; echo base64_decode($str);?>







デコードしたときに発見したことを推測しますか？ （サイトのルールを守るためにパズルへのリンクは削除されていますので、Parasite Eliminatorブログへのリンク、パズルがある投稿へのリンクを探してください:)