Un site WordPress compromis l’annonce rarement. L’attaquant veut rester invisible le plus longtemps possible, car chaque jour d’acc\u00e8s suppl\u00e9mentaire est une occasion de plus d’envoyer du spam, d’abuser de votre h\u00e9bergement ou de b\u00e2tir du r\u00e9f\u00e9rencement sur votre domaine. Plus t\u00f4t vous rep\u00e9rez une compromission, moins elle fait de d\u00e9g\u00e2ts. Voici douze signaux d’alerte concrets \u00e0 v\u00e9rifier sur tout site WordPress que vous poss\u00e9dez ou g\u00e9rez.<\/p>\n\n\n\n
WordPress place ses fichiers dans un ensemble connu de dossiers. Tout ce qui se trouve en dehors de wp-admin, wp-content, wp-includes et des fichiers standard du c\u0153ur \u00e0 la racine doit \u00eatre examin\u00e9. Un audit r\u00e9cent sur le site d’une agence de Sydney a r\u00e9v\u00e9l\u00e9 cinq nouveaux r\u00e9pertoires \u00e0 la racine, chacun nomm\u00e9 pour imiter de vraies pages WordPress. Les fichiers qu’ils contenaient \u00e9taient toute l’attaque. Les dossiers eux-m\u00eames \u00e9taient l’indice.<\/p>\n\n\n\n
Le dossier uploads est r\u00e9serv\u00e9 aux m\u00e9dias. PHP ne devrait pas s’y ex\u00e9cuter. Si vous trouvez des fichiers .php dans l’arborescence uploads, surtout avec des noms \u00e9tranges ou des dates de modification r\u00e9centes, consid\u00e9rez-les comme suspects jusqu’\u00e0 preuve du contraire. L’exception : un petit ensemble de fichiers stub intentionnels que certaines extensions de durcissement ajoutent pour bloquer l’acc\u00e8s direct. Tout ce qui va au-del\u00e0 m\u00e9rite une enqu\u00eate.<\/p>\n\n\n\n
Ouvrez Utilisateurs dans votre administration WordPress. Examinez chaque compte dot\u00e9 du r\u00f4le administrateur. Si quelqu’un y figure que vous ne reconnaissez pas, avec une adresse e-mail sur un domaine inconnu, ou avec une date d’inscription qui ne correspond \u00e0 aucun accueil dont vous vous souvenez, c’est un signal d’alerte. Les attaquants cr\u00e9ent souvent un compte administrateur de porte d\u00e9rob\u00e9e pour pouvoir revenir m\u00eame apr\u00e8s la fermeture du point d’entr\u00e9e initial.<\/p>\n\n\n\n
Google Search Console est le syst\u00e8me d’alerte pr\u00e9coce que la plupart des propri\u00e9taires ignorent. Des chutes soudaines d’impressions ou de positions peuvent signifier qu’une action manuelle a \u00e9t\u00e9 appliqu\u00e9e. Des pics soudains d’impressions pour des requ\u00eates sans rapport avec votre activit\u00e9 peuvent signifier que Google classe d\u00e9sormais du contenu masqu\u00e9 sous votre domaine. Dans les deux cas, creusez.<\/p>\n\n\n\n
Dans la Search Console, le rapport de couverture liste toutes les URL que Google a index\u00e9es sous votre domaine. Si vous voyez des URL que vous n’avez pas cr\u00e9\u00e9es, surtout en langues \u00e9trang\u00e8res ou avec des chemins inhabituels, c’est un signe fort que votre domaine h\u00e9berge du contenu masqu\u00e9. L’\u00e9tude de cas de Sydney \u00e9voqu\u00e9e plus haut s’est d’abord manifest\u00e9e par des URL index\u00e9es que le propri\u00e9taire n’avait jamais vues.<\/p>\n\n\n\n
Une hausse soudaine de bande passante ou de stockage sur votre facture d’h\u00e9bergement, sans changement correspondant de trafic ou de contenu sur le site, peut signifier que le serveur est utilis\u00e9 pour autre chose que votre site. Les attaquants se servent parfois de sites WordPress compromis pour h\u00e9berger des pages de phishing, des logiciels malveillants ou du contenu spam, et cette bande passante appara\u00eet dans vos statistiques d’utilisation.<\/p>\n\n\n\n
Si vous avez un filtrage anti-spam install\u00e9 mais que le spam appara\u00eet quand m\u00eame, surtout des commentaires approuv\u00e9s automatiquement ou des inscriptions d’utilisateurs qui contournent vos r\u00e9glages, quelque chose a contourn\u00e9 le flux normal de WordPress. Cela peut \u00eatre une mauvaise configuration d’extension, mais aussi une compromission qui a d\u00e9sactiv\u00e9 ou contourn\u00e9 vos protections.<\/p>\n\n\n\n
Les fichiers de wp-admin et wp-includes font partie du c\u0153ur de WordPress. Les propri\u00e9taires ne devraient jamais les modifier, et les mises \u00e0 jour de routine devraient les laisser dans un \u00e9tat sain connu. Une extension de s\u00e9curit\u00e9 r\u00e9put\u00e9e comme Wordfence peut comparer vos fichiers du c\u0153ur aux versions officielles et vous dire lesquels ont \u00e9t\u00e9 modifi\u00e9s. Toute modification que vous ne pouvez pas expliquer est un signal d’alerte.<\/p>\n\n\n\n
Si votre extension de s\u00e9curit\u00e9 ou votre h\u00e9bergeur fournit un journal d’activit\u00e9, lisez-le. Des connexions depuis des pays o\u00f9 vous n’op\u00e9rez pas, des connexions \u00e0 des heures qui ne correspondent \u00e0 aucune habitude de votre \u00e9quipe, des changements de r\u00e9glages que vous n’avez pas faits, des extensions install\u00e9es ou activ\u00e9es en dehors des fen\u00eatres de maintenance de routine. Chacun de ces \u00e9l\u00e9ments m\u00e9rite une enqu\u00eate.<\/p>\n\n\n\n
Cliquez sur votre propre site depuis un r\u00e9sultat Google, id\u00e9alement depuis une session de navigateur neuve ou un appareil mobile. Si vous aboutissez sur un autre domaine, sur une page de destination inconnue, ou sur une page qui ne correspond pas au titre cliqu\u00e9, quelque chose intercepte le trafic de recherche. Les attaquants \u00e9crivent souvent des r\u00e8gles de redirection qui ne se d\u00e9clenchent que pour les visiteurs arrivant des moteurs de recherche, d’o\u00f9 le fait que la m\u00eame URL semble normale quand vous la saisissez directement.<\/p>\n\n\n\n
Chrome, Firefox et Safari affichent une page d’avertissement rouge si Google Safe Browsing a signal\u00e9 votre domaine comme diffusant des logiciels malveillants ou du phishing. Si quelqu’un signale avoir vu un tel avertissement sur votre site, consid\u00e9rez-le comme une compromission confirm\u00e9e jusqu’\u00e0 preuve du contraire. Dans la grande majorit\u00e9 des cas, l’avertissement n’est pas un faux positif.<\/p>\n\n\n\n
Parfois, le d\u00e9tecteur le plus fiable est un client d\u00e9rout\u00e9. Si quelqu’un vous contacte pour demander pourquoi votre site affiche du contenu sans rapport, fait la publicit\u00e9 de produits que vous ne vendez pas, ou r\u00e9clame des identifiants dans un formulaire inconnu, \u00e9coutez attentivement. Les clients voient la face publique de votre site dans des conditions que vous ne testez peut-\u00eatre pas.<\/p>\n\n\n\n
Si l’un de ces signaux d’alerte appara\u00eet, ne paniquez pas et n’essayez pas de nettoyer avant d’avoir compris l’ampleur. La premi\u00e8re \u00e9tape la plus importante est de prendre un instantan\u00e9 de l’\u00e9tat actuel, avec une sauvegarde compl\u00e8te des fichiers et de la base de donn\u00e9es, pour qu’un audit forensique puisse voir ce que l’attaquant a fait. Puis changez tous les identifiants. Ensuite, entamez un nettoyage syst\u00e9matique, id\u00e9alement avec l’aide de quelqu’un qui l’a d\u00e9j\u00e0 fait.<\/p>\n\n\n\n
Nettoyer trop vite d\u00e9truit les preuves dont vous avez besoin pour trouver le point d’entr\u00e9e. Sans trouver le point d’entr\u00e9e, l’attaquant sera de retour en quelques jours.<\/p>\n\n\n\n