Mon site ou mon hébergement a été piraté : comment c'est arrivé et comment le résoudre

Les attaques contre les sites web sont bien plus courantes qu'il n'y paraît, et il n'est pas nécessaire d'être une grande marque pour en subir. Presque toutes sont automatiques : des robots qui parcourent Internet à la recherche de sites présentant des failles connues. Ce qu'ils cherchent, c'est utiliser votre site pour héberger du malware ou des pages d'hameçonnage, envoyer du spam ou rediriger vos visiteurs vers d'autres sites.

Comment ils sont entrés

Dans la grande majorité des cas, par une application non mise à jour : WordPress, Joomla, PrestaShop, Drupal ou, surtout, l'un de leurs plugins, thèmes ou modules. Les mises à jour corrigent des failles de sécurité ; quand l'une d'elles est publiée, la faille devient publique et les robots commencent à chercher les sites qui ne l'ont pas appliquée.

Autres causes fréquentes :

• Plugins ou thèmes abandonnés par leur développeur, qui ne recevront jamais la correction d'une faille découverte.
• Plugins ou thèmes « nulled » (versions payantes téléchargées gratuitement sur des sites non officiels), qui contiennent généralement déjà une porte dérobée.
• Mots de passe volés de cPanel, du FTP ou de l'administrateur du site, généralement par un virus sur l'ordinateur depuis lequel vous vous connectez. Nous l'expliquons dans infection de fichiers par un accès FTP compromis.
• Failles dans votre propre code, comme des formulaires ou des envois de fichiers non validés.

Chaque compte d'hébergement est isolé des autres : un attaquant qui entre dans votre compte ne peut pas atteindre celui d'un autre client. De plus, les serveurs disposent d'un pare-feu, d'Imunify360 qui analyse les fichiers et les processus en temps réel et de règles qui filtrent les attaques web. Vous pouvez consulter ces mesures de sécurité, mais aucune ne remplace une application à jour.

Quels effets cela a

• Tous les sites du compte touchés. Si vous avez plusieurs sites sur le même hébergement, une faille dans l'un suffit pour que l'attaquant puisse tous les modifier : ils partagent l'utilisateur et les fichiers.
• Envoi de spam. L'attaquant dépose des scripts qui envoient des e-mails en masse. Votre domaine finit sur des listes noires et vos e-mails légitimes commencent à être rejetés.
• Contenu illégal hébergé : pages d'hameçonnage qui imitent des banques ou des entreprises, ou fichiers contenant des virus.
• Pannes du site : pages blanches, erreurs, contenu étrange ou redirections vers d'autres sites (parfois uniquement quand on arrive depuis Google ou depuis un mobile).
• Blocage par Google. Google détecte les sites infectés et les signale. Avec Safe Browsing, Chrome, Firefox et Safari affichent un avertissement rouge de « site dangereux » à quiconque tente d'y entrer.

Comment le résoudre

1. Analysez le compte

Dans cPanel, ouvrez Imunify360 : vous verrez les fichiers qu'il a détectés comme malveillants et vous pourrez les nettoyer. Vous trouverez les détails dans Imunify360. Vous pouvez aussi utiliser l'analyseur de virus de cPanel.

Si l'infection est grave ou si vous ne savez pas par où commencer, contactez-nous : nous disposons d'outils pour détecter et supprimer les malwares, les portes dérobées et les injections de code, et chaque cas est différent.

2. Cherchez les fichiers modifiés récemment

Depuis le terminal de cPanel, listez les fichiers PHP qui ont changé au cours des 7 derniers jours :

find ~/public_html -name "*.php" -mtime -7 -ls

Remplacez -7 par le nombre de jours écoulés depuis le début du problème. Regardez surtout les fichiers PHP dans des dossiers d'images ou d'envois (dans WordPress, wp-content/uploads ne devrait contenir aucun .php) :

find ~/public_html/wp-content/uploads -name "*.php"

3. Vérifiez les administrateurs

Les attaquants créent souvent un utilisateur administrateur pour revenir. Dans WordPress, depuis phpMyAdmin (onglet SQL), cette requête liste les administrateurs, du plus récent au plus ancien :

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities'
  AND m.meta_value LIKE '%administrator%'
ORDER BY u.user_registered DESC;

Si votre installation utilise un autre préfixe, remplacez wp_ aux trois endroits. Supprimez ceux que vous ne reconnaissez pas depuis Utilisateurs dans le tableau de bord de WordPress.

Vérifiez aussi dans cPanel les Tâches Cron : une tâche cron que vous n'avez pas créée, qui télécharge ou exécute un fichier, est un moyen courant de réinfecter le site. Vous trouverez les explications dans tâches cron.

4. Restaurez une sauvegarde si le nettoyage est impossible

Si l'infection est très étendue, le plus rapide et le plus sûr est de restaurer une sauvegarde d'une date antérieure à l'attaque. Gardez à l'esprit que vous perdrez ce qui a été ajouté depuis (commandes, commentaires, articles). Après la restauration, appliquez quand même les étapes ci-dessous : la sauvegarde contient la même faille par laquelle ils sont entrés.

Si vous utilisez WordPress, suivez le guide pour nettoyer WordPress après une attaque.

5. Fermez la porte

Même si vous avez nettoyé ou restauré, faites toujours ceci :

1. Mettez à jour l'application et tous les plugins, thèmes et modules.
2. Supprimez les applications, plugins et thèmes que vous n'utilisez pas, y compris ceux qui sont désactivés.
3. Changez les mots de passe de cPanel, du FTP, de la base de données et de tous les administrateurs du site, pour d'autres longs et uniques. Pour cPanel, c'est expliqué dans changer le mot de passe de cPanel et du FTP.
4. Passez un antivirus sur les ordinateurs depuis lesquels vous accédez à l'hébergement.

6. Demandez à Google de retirer l'avertissement

Si Google a signalé votre site :

1. Ajoutez votre site à Search Console s'il n'y est pas : comment ajouter votre domaine à Search Console.
2. Allez dans Sécurité et actions manuelles > Problèmes de sécurité. Vous y verrez les URL concernées et le type de problème.
3. Quand tout est propre, cliquez sur Demander un examen et expliquez brièvement ce que vous avez fait.

Google met généralement quelques jours à l'examiner. Vous trouverez l'explication officielle dans le rapport sur les problèmes de sécurité.

Si vous êtes de nouveau piraté

Il est très courant que le problème réapparaisse après le nettoyage : une attaque peut modifier des centaines de fichiers en quelques secondes et laisser une porte dérobée cachée qui passe inaperçue. Le mieux est de repartir d'une sauvegarde totalement saine, mais si l'attaque est passée inaperçue pendant des mois, vous n'en avez peut-être pas. Dans ce cas :

• Supprimez tout plugin, thème et utilisateur administrateur qui n'est pas indispensable, y compris ceux qui sont désactivés.
• Supprimez les plugins et thèmes sans mise à jour de leur développeur depuis plus d'un an, et cherchez des alternatives maintenues.
• Réinstallez les plugins et thèmes depuis leurs sources officielles (pour WordPress, wordpress.org ou le site du développeur).
• Réinstallez l'application elle-même en écrasant ses fichiers avec les originaux de la même version. Dans WordPress, depuis Tableau de bord > Mises à jour, avec le bouton de réinstallation de la version actuelle, ou avec wp core download --force --skip-content.
• Supprimez tout fichier ou application dont vous n'avez pas besoin : anciennes copies, installations de test, dossiers old ou backup dans public_html.
• Si vous avez plusieurs sites sur le même compte, séparez-les dans des offres d'hébergement distinctes pour qu'une faille dans l'un n'affecte pas les autres. Avant de le déplacer, nettoyez le site : le déplacer infecté ne fait que déplacer le problème.

Si votre site est chez un autre fournisseur

Si le site piraté est hébergé ailleurs que chez Hostsuar, nous pouvons le rapatrier et le nettoyer gratuitement lorsque vous commandez n'importe quelle offre. Ce que cela comprend et comment le demander se trouve dans sauvetage de sites piratés.