WordPress : « social.png », « system0 », avez-vous été hacké ?

Comme c’est un peu la fête du slip de la faille de sécurité sur les plugins WordPress en ce moment, il m’a semblé bon de rappeler qu’il est très important de maintenir ses plugins ainsi que son CMS à jour afin d’éviter les attaques. Toutefois, nous ne sommes jamais à l’abri et il arrive parfois que certaines brèches sont découvertes sur le tard. Récemment, ce sont les plugins All In One SEO et Jetpack qui ont été la cible des hackers. Comme quoi ça peut arriver aux meilleurs…

Tout d’abord, lors de votre choix de plugin, regardez bien de quand date la dernière mise à jour. Certains développeurs ont laissé à l’abandon leurs créations probablement par manque de temps. Il est donc plus judicieux de choisir ceux dont le développement semble être actif, les notes des utilisateurs sont aussi une bonne indication.

La plupart du temps, on a à faire à des attaques automatisées, le bot va scanner le code de votre blog pour y trouver les commentaires que laissent certains plugins. WP Super Cache par exemple va laisser un gros truc bien dégueulasse en pied de page de votre code HTML :

Dès l’annonce d’une faille, les bots vont aller chercher ce type de commentaires, en clair il est possible de savoir en quelques secondes si tel ou tel site a une faille ouverte… On se demande bien d’ailleurs pourquoi les développeurs continuent à ajouter ce genre de choses qui ne servent à rien sinon à alourdir le poids des pages. C’est d’autant plus absurde dans mon exemple car l’idée est d’accélérer l’affichage… Bref… Notez bien que ce n’est qu’une technique parmi tant d’autres.

Pour savoir si vous avez été victime d’un hack ou si un logiciel malveillant est présent sur votre site, vous pouvez utiliser Google Webmaster Tools qui vous avertira rapidement s’il trouve quelque chose. Il faut aussi faire un tour sur votre FTP pour y dénicher les fichiers qui n’ont rien à faire sur votre serveur. Un des plus courant c’est probablement le fameux « social.png » (et ses variantes) que l’on trouve généralement à la racine de son installation ou dans le dossier du thème. Il s’agit en fait d’un fichier PHP contenant du code malicieux qui généralement se fait inclure dans le functions.php de votre thème. Du code est rajouté tout en bas et fait référence à « social.png ». D’ailleurs, j’aime bien mettre un CHMOD 444 sur ce fichier par prévention, de cette manière il n’est plus éditable depuis l’interface WordPress.

Si vous trouvez effectivement ce bout de code et des fichiers « social.png » sur votre serveur, c’est que très probablement il y a eu une intrusion. Si vous savez de quel plugin cela provient, contactez directement le développeur par email, évitez de le faire publiquement afin de ne pas propager la nouvelle faille. C’est une opération délicate que de trouver le fautif car cela peut très bien venir d’un plugin, du thème ou du CMS en lui-même…

Autre cas récurrent, souvent lié au premier, c’est la création d’un nouvel admin nommé « system0 », « system1 »… Le mieux est de supprimer tout utilisateur que vous ne connaissez pas et qui possède tous les droits d’administration.

Afin de « nettoyer » votre installation, veillez à re-télécharger une archive de WordPress sur le site officiel et d’écraser tous les fichiers afin de s’assurer de repartir sur une base saine. Assurez-vous aussi que tous vos plugins et thèmes sont à jour et qu’ils ne datent pas.

Chaque hack est différent et il souvent difficile de trouver la faille c’est pourquoi il est important de faire des sauvegardes régulières et de les archiver afin de pouvoir « revenir en arrière » en cas de pépin. N’oubliez pas de changer votre mot de passe lorsque vous aurez comblé la faille.

Nous avons besoin de vous !

Tu as aimé cet article ? Tu peux nous soutenir en achetant l'un de nos t-shirts ou faire un tour sur notre sexshop. Si tu n'as pas de thunes, tu peux aussi nous aider en partageant cet article sur les réseaux sociaux. Merci beaucoup !

LAISSER UN COMMENTAIRE

Please enter your comment!
Please enter your name here