サイトがadzilla.memに302リダイレクトする改ざん被害の復旧のご相談

お客様のサイトが変なサイト（adzilla.mem）に302リダイレクトされるというご相談がありました。調査すると、サーバーにあるすべてのサイトの.htaccessの先頭に別のサイトへのリダイレクトのコードが書き込まれていました。

それ以外の改ざん被害はなかったので、リダイレクトコードを削除して様子を見たところ、一日後に再度同じ状況になりました。

ファイルが改ざんされた時刻とアクセスログを照らし合わせても不審なアクセスは見つかりません。

再度修正して様子を見たところ、2日後に再度同じ状況になりました。

アクセスログにも記録はありません。

今までの状況からサイトに不審なコードがあったり、外部から侵入されているわけではないことがわかりました。

・htaccess以外の改ざんが一切ない

・改ざんの発生タイミングが不定期で間隔があいている。

・複数のファイルの改ざんタイミングが一致してない

・アクセスログの記録が残らない

これらの状況から想定される侵入経路が絞られたので、その経路をブロックすることにしました。

その後、htaccessの改ざんは再発しなくなり、侵入経路が特定できたことになります。

もし、アクセスログに残らない改ざん被害でお悩みの場合は、ご相談ください。