Examiner une possible infection via des identifiants FTP

Une intrusion peut ajouter du JavaScript, des iframe, des portes dérobées ou des pages d'hameçonnage à de nombreux fichiers. Les navigateurs et les moteurs de recherche peuvent signaler le site lorsqu'ils détectent un contenu dangereux.

L'aspect des fichiers ne permet pas de savoir comment l'attaquant est entré. Avant de l'attribuer au FTP, conservez et examinez les journaux d'accès, les dates de modification et les comptes existants. Il faut aussi examiner les vulnérabilités de l'application, les utilisateurs administrateurs, les tâches planifiées et les autres accès à l'hébergement.

Si les journaux montrent une connexion FTP valide que vous ne reconnaissez pas, considérez cet identifiant comme compromis. Conservez le journal et révoquez ou restreignez cet accès au plus vite depuis un appareil de confiance. Analysez aussi les appareils depuis lesquels il était utilisé ; n'attendez pas la fin de cette analyse pour contenir un accès actif.

Conseils de sécurité

1. Utilisez SFTP lorsqu'il est disponible et supprimez les comptes FTP dont vous n'avez pas besoin.
2. Attribuez à chaque compte un mot de passe long, unique et différent ; conservez-le dans un gestionnaire de mots de passe fiable.
3. Maintenez à jour le système, le navigateur et le client de transfert, et analysez l'appareil avec sa solution de sécurité.
4. Après avoir sécurisé l'appareil, changez l'identifiant FTP dont l'exposition est confirmée ainsi que tout autre identifiant réutilisé ou qui a pu être accessible à l'attaquant.
5. Nettoyez tout le compte, corrigez le point d'entrée et examinez les journaux ultérieurs. Changer le mot de passe ne supprime pas le malware déjà installé.

Quelles informations aident à le confirmer

Mettez en relation l'utilisateur, l'IP, la date et le fuseau horaire de l'accès avec les fichiers touchés. Une connexion réussie ne montre pas nécessairement quel fichier a été modifié, et une date de modification peut être falsifiée. Croisez plusieurs signaux et n'attribuez pas l'incident au seul pays d'une IP.

Distinguez un compte FTP supplémentaire de l'identifiant principal de l'hébergement. Si vous changez le mot de passe principal, mettez à jour les accès légitimes qui en dépendent ; s'il existe des clés SSH, révoquez-les séparément lorsqu'elles sont exposées. SFTP chiffre la connexion, mais n'empêche pas l'utilisation d'un identifiant déjà volé.