Comment les logiciels malveillants pénètrent dans un site Web WordPress

Lorsqu’un site Web WordPress commence soudainement à rediriger vers des pages étranges, à envoyer du spam ou à afficher des fichiers suspects sur le serveur, la plupart des gens se posent immédiatement une question :

comment faire pour nettoyer ça le plus rapidement possible ?

Cette réaction est logique. Une fois qu’un site Web est compromis, la première priorité est généralement de le remettre sous contrôle.

Mais si l’on s’arrête là, le même problème revient souvent plus tard.

Parce que dans la plupart des cas, les logiciels malveillants n’entrent pas via un hack dramatique de type film. Cela s’introduit par de petites habitudes qui semblaient inoffensives à l’époque :

• un ancien plugin qui n’a pas été mis à jour,
• un thème ou plugin annulé,
• un mot de passe administrateur qui a été réutilisé,
• un ancien compte toujours actif,
• ou un accès au serveur tout simplement trop lâche.

Donc pour moi, la question la plus importante n’est pas seulement « comment le supprimer ? mais :

quel point d’entrée a permis de compromettre le site Web en premier lieu ?

Si vous ne comprenez pas cette voie, le nettoyage devient souvent une solution superficielle. Le site peut paraître à nouveau normal, mais les fondations sont toujours vulnérables.

Dans cet article, je souhaite aborder cela de manière plus calme et pratique : comment les logiciels malveillants pénètrent généralement dans un site Web WordPress, pourquoi le problème semble souvent soudain et quels domaines je vérifie habituellement en premier lors d’une enquête.

Si votre site Web affiche déjà des redirections inhabituelles, des fichiers suspects ou des modèles de trafic étranges, vous pouvez également lire 7 signes que votre site Web WordPress est infecté par un logiciel malveillant et comment y remédier ou accéder directement à notre service de suppression de logiciels malveillants WordPress si la situation nécessite une aide immédiate.

Les logiciels malveillants n’entrent pas toujours via un « maître hacker »

De nombreuses personnes imaginent les attaques de logiciels malveillants comme une scène de film : un pirate informatique cible soigneusement un site spécifique et s’introduit dans le système à l’aide d’une technique très avancée.

En réalité, la plupart des infections WordPress sont bien moins dramatiques que cela.

Ce qui se passe habituellement est plus simple :

• les robots analysent automatiquement les sites Web vulnérables,
• un plugin ou un thème présente une vulnérabilité non corrigée,
• les informations d’identification de l’administrateur sont faibles ou divulguées,
• les fichiers piratés contiennent une porte dérobée,
• soit la configuration du serveur est tout simplement trop lâche.

En d’autres termes, votre site Web n’est souvent pas « choisi » personnellement. Il se trouve simplement que nous sommes assis sur un chemin facile d’accès.

C’est pourquoi même les petits sites Web peuvent être infectés.

1. Les plugins ou thèmes annulés sont l’un des points d’entrée les plus courants

Si je devais choisir un point d’entrée qui aggrave souvent les choses, ce serait celui-ci : plugins ou thèmes annulés.

Pourquoi est-ce dangereux ?

Parce que les fichiers annulés ne sont pas simplement des « versions gratuites » de plugins premium. Dans de nombreux cas, ils ont été modifiés. Les attaquants peuvent cacher :

• les portes dérobées,
• les téléchargeurs de shell,
• rediriger les scripts,
• code obscurci,
• ou même des utilisateurs administrateurs cachés.

Le problème devient plus grave car le site peut toujours paraître normal une fois le fichier installé. L’infection peut rester dormante pendant des jours ou des semaines, puis s’activer plus tard lorsque l’attaquant le souhaite.

Alors, quand quelqu’un dit : « J’ai installé ce plugin il y a quelque temps et ce n’est que maintenant que les choses ont commencé à mal tourner », ce n’est pas étrange du tout.

Les portes dérobées sont souvent conçues pour rester cachées.

Si vous avez déjà utilisé un plugin ou un thème piraté, je serai franc : c’est toujours une zone à haut risque. Même si votre site Web ne présente pas encore de symptômes, la fondation est déjà malsaine.

2. Les mises à jour retardées laissent la porte grande ouverte

WordPress lui-même n’est pas automatiquement dangereux. De nombreux sites WordPress restent très stables lorsqu’ils sont correctement entretenus.

Les problèmes commencent généralement lorsque les mises à jour s’accumulent.

Une fois qu’une vulnérabilité apparaît dans :

• le noyau WordPress,
• un plugin,
• un thème,
• ou une autre extension,

les robots et les attaquants se déplacent souvent rapidement.

Ils n’ont pas besoin de deviner grand-chose. Ils recherchent simplement les sites exécutant encore une version vulnérable, puis tentent un exploit déjà connu du public.

C’est important : de nombreux sites ne sont pas piratés parce que l’attaquant est particulièrement intelligent. Ils sont compromis car la vulnérabilité est déjà bien connue et n’est toujours pas corrigée.

C’est pourquoi la maintenance n’est pas une « tâche supplémentaire ». La maintenance fait partie de la sécurité.

Si les mises à jour sont toujours reportées parce que les gens ont peur de casser quelque chose, le problème ne vient souvent pas de la mise à jour elle-même. Le véritable problème est un flux de travail de maintenance non structuré.

3. Les mots de passe faibles et les fuites d’informations d’identification sont encore très courants

Il s’agit d’un point d’entrée simple, mais cela arrive encore souvent.

Un site WordPress peut être compromis non pas parce que l’attaquant a découvert une faille technique profonde, mais parce qu’il a réussi à s’emparer d’un compte administrateur.

Cela se produit généralement par :

• un mot de passe trop simple,
• un mot de passe réutilisé sur de nombreux services,
• les informations d’identification ont été divulguées à partir d’une autre violation,
• un nom d’utilisateur administrateur trop facile à deviner,
• soit une zone de connexion sans suffisamment de protection.

Une fois qu’un attaquant obtient un accès administrateur, il n’a pas besoin de « pirater » beaucoup plus. Ils ont déjà suffisamment accès à :

• télécharger des fichiers,
• modifier le thème,
• installer des plugins malveillants,
• créer un nouvel utilisateur administrateur,
• soit de la persistance végétale pour qu’ils puissent revenir plus tard.

C’est pourquoi la sécurité de WordPress ne concerne pas uniquement les plugins de sécurité. C’est aussi une question de discipline d’accès.

Si la couche d’administration est faible, tout le reste devient beaucoup moins significatif.

4. Les anciens comptes qui ne sont plus utilisés peuvent devenir des points d’entrée discrets

Cela est négligé plus souvent qu’il ne le devrait.

Par exemple :

• un développeur a aidé à créer le site il y a des années,
• un ancien collaborateur est parti mais son compte est toujours actif,
• un compte éditeur est toujours là même si personne ne l’utilise,
• ou un compte administrateur de sauvegarde a été créé “juste au cas où”.

Ensuite, ces comptes restent actifs pendant des mois.

Mais chaque compte actif constitue une autre surface d’attaque.

Plus vous laissez de comptes inutilisés derrière vous, plus grandes sont les chances qu’un point faible oublié soit finalement utilisé contre vous.

Parfois, le problème ne vient pas du compte lui-même, mais :

• l’adresse email derrière celle-ci n’est plus sécurisée,
• le mot de passe est faible,
• soit la personne y a encore accès alors qu’elle ne devrait plus le faire.

Lorsque j’audit un site WordPress qui existe depuis un certain temps, la liste des utilisateurs est généralement l’une des premières choses que je vérifie.

Car très souvent, le problème racine ne vient pas en premier lieu de la couche fichier. C’est la couche d’accès.

5. Les téléchargements de fichiers mal contrôlés peuvent être abusés

Certains sites Web WordPress proposent de nombreux chemins de téléchargement :

• des formulaires de contact avec pièces jointes,
• des plugins d’import/export,
• des plugins de gestion de fichiers,
• des téléchargeurs personnalisés,
• les formulaires de candidature à un emploi,
• ou encore certains workflows de création de pages.

Si la validation est faible, les attaquants peuvent tenter d’insérer un fichier qui n’aurait jamais dû être autorisé.

Par exemple :

• une extension dangereuse,
• un fichier déguisé en image,
• soit un payload conçu pour s’exécuter ultérieurement sur le serveur.

Bien entendu, toutes les surfaces de téléchargement ne sont pas immédiatement exploitables. De nombreux hôtes et configurations modernes parviennent déjà à limiter ce phénomène.

Mais si la configuration du serveur est lâche et que le plugin ne valide pas correctement les uploads, cette zone peut devenir un véritable point d’entrée.

C’est pourquoi chaque fonctionnalité de téléchargement doit être traitée comme une fonctionnalité sensible, et pas seulement comme une fonctionnalité pratique.

6. L’hébergement ou la configuration du serveur peuvent également faire partie du problème

Parfois, les gens se concentrent uniquement sur WordPress, alors que le véritable point faible se situe une couche en dessous.

Par exemple :

• les autorisations sur les fichiers sont trop lâches,
• le logiciel serveur est obsolète,
• le panel d’hébergement présente une faiblesse,
• un autre site sur le même serveur est infecté et le problème se propage,
• les sauvegardes et les restaurations sont traitées avec négligence,
• ou trop de personnes ont accès au serveur.

Dans les environnements d’hébergement mutualisé mal isolés, ce type de risque peut devenir plus ennuyeux.

Je ne dis pas que tous les hébergements partagés sont dangereux. Ce n’est pas si simple.

Mais la qualité de l’hébergement affecte clairement la sécurité. Un serveur mal géré peut rendre vulnérable une configuration WordPress par ailleurs décente.

C’est pourquoi, pour les sites Web professionnels sérieux, je me sens toujours mieux lorsque la base est également saine. Pas seulement la pile de plugins et le thème, mais également l’environnement du serveur.

7. Un plugin de sécurité n’est pas une garantie lorsque les bases sont faibles

Il s’agit d’une idée fausse courante.

Une fois que les gens installent un plugin de sécurité, ils ont l’impression que le site Web est automatiquement protégé.

Mais un plugin de sécurité est un outil et ne remplace pas une bonne discipline.

Un site WordPress peut toujours être infecté même lorsqu’un plugin de sécurité existe si :

• les plugins principaux sont obsolètes,
• un fichier annulé est toujours installé,
• il y a trop de comptes administrateur,
• les mots de passe sont faibles,
• les permissions du serveur sont mauvaises,
• soit les sauvegardes ne sont jamais testées.

C’est comme installer une vidéosurveillance mais laisser la porte arrière ouverte.

Un plugin de sécurité est toujours important. Je recommande une protection en couches. Mais ces couches doivent se soutenir mutuellement.

8. Le code personnalisé et les extraits manuels peuvent également entraîner des risques

Toutes les infections ne proviennent pas d’un plugin public.

Parfois le problème vient de :

• un extrait ajouté sans révision,
• code personnalisé copié à partir d’un tutoriel aléatoire,
• une intégration qui faisait trop confiance,
• ou un vieux script laissé actif même si personne ne le comprend plus complètement.

Cela se produit souvent sur des sites Web qui ont été consultés par de nombreuses personnes au fil du temps.

Tout le monde ajoute un petit quelque chose. Un peu ici. Un peu là. Sans documentation appropriée.

En fin de compte, personne ne sait vraiment quelle partie est encore sûre, quelle partie est expérimentale et laquelle aurait dû être supprimée depuis longtemps.

Plus le site Web devient complexe, plus les audits de routine du code deviennent importants.

9. Les logiciels malveillants peuvent également pénétrer via un périphérique administrateur non sécurisé

C’est une voie que beaucoup de gens oublient d’envisager.

Parfois, le site Web n’est pas piraté directement de l’extérieur. Parfois, un compte administrateur légitime est d’abord compromis pour les raisons suivantes :

• l’ordinateur portable est infecté,
• le navigateur stocke les mots de passe sans bonne protection,
• quelqu’un se connecte sur un réseau non sécurisé,
• soit une extension de navigateur est malveillante.

Une fois que les informations d’identification de l’administrateur tombent entre de mauvaises mains, l’attaquant peut se connecter comme un utilisateur normal.

Dans les journaux, cela peut même ressembler à une connexion légitime.

C’est pourquoi la sécurité d’un site Web dépend également des appareils utilisés pour la gérer.

10. Une mauvaise sauvegarde peut ramener l’infection

Ce n’est pas le point d’entrée initial, mais c’est une raison courante pour laquelle une infection semble « revenir ».

Par exemple, le site a été nettoyé une fois. Puis quelques semaines plus tard, le même problème réapparaît.

La raison est souvent :

• la sauvegarde restaurée contenait déjà une porte dérobée,
• un ancien fichier infecté a également été restauré,
• soit l’utilisateur administrateur malveillant n’a jamais été complètement supprimé.

Le site semble donc propre pendant un moment, puis le même problème revient.

C’est pourquoi la question importante n’est pas seulement « quelle sauvegarde est disponible ? mais aussi “quelle sauvegarde est réellement propre ?”

La réinitialisation de l’hébergement et la restauration des sauvegardes ne sont souvent que des correctifs temporaires

Au stade de la panique, de nombreux hébergeurs suggèrent généralement deux choses :

1. réinitialiser le compte d’hébergement,
2. restaurer le site Web à partir d’une sauvegarde effectuée avant le piratage, le cas échéant.

Pour être juste, ces mesures peuvent être utiles en cas d’urgence.

Si l’objectif est de remettre le site Web en ligne rapidement, cette approche peut être utile à court terme. Le site redevient normal. Les fichiers cassés disparaissent. Le trafic pourrait se stabiliser.

Mais le problème est que ces étapes ne répondent souvent pas à la cause première.

Car si vous ne comprenez toujours pas comment le malware est entré, vous ne savez pas encore :

• quel chemin d’exploitation a été utilisé,
• si une porte dérobée a été oubliée,
• si un compte administrateur caché est toujours actif,
• si les fichiers ou la base de données étaient encore contaminés,
• ou si la sauvegarde restaurée était déjà infectée avant d’être enregistrée.

C’est pourquoi un site Web qui « semblait à nouveau en bon état » peut être à nouveau infecté quelques jours ou semaines plus tard.

La réinitialisation de l’hébergement peut nettoyer la surface. La restauration d’une sauvegarde peut ramener le site visuellement. Mais si le chemin d’accès d’origine, la porte dérobée ou le point faible sont toujours ouverts, l’attaquant n’a souvent qu’à revenir par la même porte.

Donc, à mon avis, la réinitialisation et la restauration ne sont pas des solutions définitives. Il est préférable de les considérer comme :

• des étapes de stabilisation,
• des étapes de récupération temporaires,
• ou le début d’une enquête plus approfondie.

Pas la réponse définitive.

Si je gère un cas comme celui-ci, je me sens toujours mieux lorsqu’une réinitialisation ou une restauration est suivie d’un audit approprié :

• vérifier les utilisateurs administrateurs,
• revoir les plugins et les thèmes,
• inspecter les fichiers modifiés,
• regarder les tâches cron et les scripts suspects,
• vérifier la base de données pour les injections de spam,
• examiner les journaux de connexion et d’accès,
• et assurez-vous que le point d’entrée d’origine est bien fermé.

Sinon, le site Web pourrait être à nouveau actif, mais les fondations ne seraient toujours pas sécurisées.

Ce que je vérifie habituellement en premier

Lorsque j’enquête sur un site WordPress qui a été touché par un malware, je commence généralement par une simple séquence de questions :

1. Y a-t-il un plugin ou un thème annulé installé ?
2. Un plugin ou un thème n’est-il pas mis à jour depuis trop longtemps ?
3. Y a-t-il des comptes administrateur suspects ou inutilisés ?
4. Y a-t-il des modifications étranges dans les fichiers wp-content, les téléchargements ou les fichiers de thème ?
5. L’accès au serveur ou au panneau est-il trop large ?
6. Y a-t-il des signes de redirections, de pages de spam ou d’abus de courrier électronique ?

Cette séquence n’est pas identique pour tous les cas, mais elle permet souvent d’accélérer le diagnostic.

Ce que je pense du risque lié aux logiciels malveillants

Pour moi, la meilleure façon de considérer les logiciels malveillants WordPress n’est pas comme un événement aléatoire, mais comme le résultat de petites faiblesses restées ouvertes trop longtemps.

Il s’agit rarement d’une cause unique.

Généralement, ce qui se passe est :

• les mises à jour sont retardées,
• un plugin est de mauvaise qualité,
• le mot de passe administrateur est réutilisé,
• les sauvegardes ne sont jamais testées,
• les anciens utilisateurs ne sont jamais supprimés,
• et puis un mauvais moment rassemble tout.

C’est pourquoi la prévention des logiciels malveillants ne peut pas dépendre d’un seul outil.

Ce dont vous avez besoin, c’est d’un système plus calme et plus complet :

• des mises à jour régulières,
• un contrôle d’accès propre,
• une base d’hébergement saine,
• une pile de plugins plus sélective,
• des sauvegardes appropriées,
• et des audits de routine.

Ce que vous pouvez faire dès maintenant

Si vous souhaitez réduire réellement le risque, je commencerais par ces étapes :

• auditez chaque plugin et thème, puis supprimez tout ce qui n’est pas vraiment nécessaire,
• assurez-vous qu’aucun fichier annulé n’est installé,
• garder le noyau, les plugins et les thèmes WordPress régulièrement mis à jour,
• changez tous les mots de passe importants et rendez-les forts et uniques,
• activer l’authentification à deux facteurs pour les comptes administrateur,
• examiner tous les utilisateurs et supprimer les anciens comptes qui ne sont plus pertinents,
• vérifiez les anciennes sauvegardes et assurez-vous qu’il existe au moins un point de restauration propre,
• examiner régulièrement les journaux du serveur et la Search Console,
• et exécutez régulièrement des analyses de sécurité, pas seulement après l’apparition d’un problème.

Si votre site Web semble en bon état aujourd’hui, c’est en fait le meilleur moment pour le nettoyer.

Car un chantier qui paraît normal aujourd’hui n’est pas forcément propre. Parfois, le véritable problème ne devient visible qu’une fois que les dégâts se sont propagés.

Conclusion

Les logiciels malveillants pénètrent généralement dans un site Web WordPress non pas par magie, mais parce qu’une porte est restée ouverte.

Cette porte peut être un plugin annulé, des mises à jour retardées, un mot de passe administrateur faible, un chemin de téléchargement de fichier lâche, un serveur en mauvais état ou une combinaison de tous.

Plus vite vous comprendrez le point d’entrée, moins vous risquez de traiter les logiciels malveillants comme un mystérieux accident venu de nulle part.

Et je pense que cela compte.

Parce qu’un site Web professionnel ne doit pas être protégé contre la panique. Il doit être protégé par un système calme, discipliné et à plusieurs niveaux.

Si vous souhaitez aller plus loin, je vous recommande de lire 7 signes que votre site Web WordPress est infecté par un logiciel malveillant et comment y remédier, de renforcer votre routine avec Le guide complet de maintenance du site Web, ou d’accéder directement à notre service de suppression de logiciels malveillants WordPress si votre site présente déjà un comportement suspect.