htaccessが改ざんされる

先日、自分のドメインでWordPressを運営しているとある別のサイトを、iPhone表示で見るためiPhoneで開いたら

別のURLにリダイレクトし「ウイルスに感染しています」のようなメッセージのページが表示されました。

噂には聞いていましたが、でもこのサイトは昨日もPCでチェックしたばかりだな…
と思いつつ、まずはPCでこのサイトを開いてみました。
すると正常に表示されました。

それからそのサイトの.htaccessを調べてみると、なるほど…
PCでチェックできなかったわけですね…

PCからアクセスしたときには通常表示するが、それ以外のUserAgentのパターンを大量に書いて、そのUserAgentで訪問した場合「hogehoge.ru」というサイトにリダイレクトする、という記述になっていました。

取り急ぎ

まずは感染サイトのバックアップで移転を完了。

続いて感染WordPressのレンタルサーバーのファイルマネージャーでレンタルサーバー内のアップロードファイルを逐一調べたところ、.htaccessがアップロードされた日付は4日前となっていました。

.htaccessがアップロードされたその4日前直前の特別なことといえば、そのおよそ10日ほど前にこのサーバーから主要なWordPressサイトをいくつか転出させてました。
そのとき転出させたサイトの残存WordPressは削除しています。

しかし、残したWordPressサイト（今回改ざんをうけたやつ）にはいくつかプラグインを管理画面から新規追加し、新規にローカルにFTPソフトをインストールして、WEB上にあった非公式のテーマファイルをZIPでアップロードしてました。

となると、改ざんを受けた原因の選択肢は

となります。

うち3番は、WordPress公式に入っているプラグインには不正コードが仕込まれている可能性が低いと思うので、除外します。

1番は、パスワードを平文で保存していないといわれているFTPソフトなのにくわえ、過信するわけではありませんがローカルPCやルータのファイアウォールに加え自宅にUTMまで設置しているというレベルです。

２番が怪しいですが、ホスト先だったレンタルサーバーもひそかに怪しいと考えています。
これでやられたらほかに手立てはないかと。