WP-VCDマルウェア完全駆除ガイド
── 海賊版テーマが引き起こす連鎖感染の正体と対処法

1初期感染：海賊版テーマのインストール

nulledテーマをインストールすると、テーマのfunctions.phpの 先頭に不正なコードが含まれています。 このコードは、テーマを有効化した瞬間に実行され、感染プロセスが開始されます。

// functions.phpの先頭に挿入される典型的なコード
<?php
if (isset($_REQUEST['action']) && isset($_REQUEST['password']) 
    && ($_REQUEST['password'] == 'xxxxxxxxxxxxxxxx')) {
    // バックドアコード
}
// 以下、正規のテーマコードが続く

2拡散：コアファイルとテーマへの感染

初期感染コードが実行されると、以下のファイルが自動的に生成・改ざんされます。

3自己修復：削除しても復活する仕組み

WP-VCDが厄介なのは、ファイルを1つ削除しても他のファイルから再生成される点です。 例えばwp-vcd.phpを削除しても、 テーマのclass.theme-modules.phpが 次のページアクセス時に再生成します。 逆にclass.theme-modules.phpを削除しても、post.phpの改ざんコードが再生成します。 この相互復元の仕組みにより、全てのファイルを同時に処理しないと駆除できません。

作業中のアクセスによる再感染を防ぐため、.htaccessでアクセス制限をかけるか、メンテナンスモードプラグインを使用します。自分のIPアドレスのみアクセスを許可してください。

インストールされている全てのテーマ（有効・無効問わず）のfunctions.phpを開き、先頭に挿入された不正コードを削除します。正規のテーマコードの開始位置を見極めて、それより前の不正コードを全て削除してください。

# 全テーマからclass.theme-modules.phpを削除
find /path/to/wordpress/wp-content/themes/ -name "class.theme-modules.php" -delete

# 全プラグインからclass.plugin-modules.phpを削除
find /path/to/wordpress/wp-content/plugins/ -name "class.plugin-modules.php" -delete

# wp-vcd.phpを削除
rm /path/to/wordpress/wp-includes/wp-vcd.php

# post.phpを公式のクリーンファイルで置き換え
# WordPress公式サイトから同バージョンをダウンロードし、
# wp-includes/post.phpを上書きコピー
cp /path/to/clean-wordpress/wp-includes/post.php /path/to/wordpress/wp-includes/post.php

-- WP-VCD関連のオプションを削除
DELETE FROM wp_options WHERE option_name LIKE '%wp_vcd%';
DELETE FROM wp_options WHERE option_name LIKE '%wp-vcd%';

-- 不正なcronジョブを確認・削除
-- cronオプションの値を確認し、不正なスケジュールがあれば
-- phpMyAdminで手動編集するか、WP-Cronプラグインで削除

海賊版テーマ・プラグインをFTPまたはファイルマネージャーで完全に削除します。WordPress管理画面からの削除ではファイルが残る場合があるため、必ずFTPレベルで削除してください。正規版のテーマに置き換えるか、別のテーマを使用してください。