Nettoyage malware WordPress : checklist pour sites d'entreprise

Définition

Le nettoyage de malware consiste à identifier et à supprimer le code malveillant, les accès non autorisés et les mécanismes de persistance d'une installation WordPress et de son environnement d'hébergement, puis à rétablir un fonctionnement normal et fiable. Il concerne quatre domaines : le système de fichiers (cœur, thèmes, extensions, fichiers téléversés et fichiers de configuration), la base de données (options, articles, utilisateurs et éventuelles tables personnalisées), le compte d'hébergement (utilisateurs FTP/SFTP, tâches cron, autres sites sur le même compte) et les services externes (DNS, CDN, messagerie et référencement dans les moteurs de recherche). Le travail n'est terminé que lorsque la voie d'accès a été identifiée, dans la mesure où les preuves disponibles le permettent, et fermée ; à défaut, une réinfection est probable.

Public concerné

Cette liste de contrôle est utile pour :

• Les propriétaires de sites qui doivent comprendre ce qu'implique un véritable nettoyage avant d'en commander un
• Les agences qui maintiennent des sites clients et veulent un standard de nettoyage cohérent
• Les équipes dont le site avait déjà été « nettoyé » mais a de nouveau été infecté
• Les managers qui doivent vérifier que le rapport d'un prestataire couvre toutes les couches concernées

Ce qu'il aide à clarifier

Suivre la liste de contrôle permet de clarifier :

• Quelles parties de l'installation peuvent être remplacées par des copies saines connues et lesquelles nécessitent un examen manuel
• Si les mécanismes de persistance, comme les utilisateurs cachés ou les tâches planifiées, ont été supprimés
• Quel était le point d'entrée probable et s'il a été fermé
• Quelles mesures de durcissement doivent suivre pour réduire le risque de récidive

Ce qui est inclus

• Préparation : faire une sauvegarde complète de l'état actuel, ne pas toucher aux sauvegardes antérieures et noter la date et l'heure
• Fichiers du cœur : remplacer le cœur de WordPress par une copie neuve de la même version provenant de la source officielle, puis passer à la version actuelle une fois le site stabilisé
• Extensions et thèmes : les réinstaller depuis des sources fiables ; supprimer tout ce qui est inutilisé, abandonné ou obtenu de sources non officielles
• Dossier des téléversements : rechercher des fichiers exécutables là où seuls des médias devraient se trouver
• Configuration : examiner wp-config.php et les fichiers de configuration du serveur comme .htaccess à la recherche de règles ou de redirections injectées
• Base de données : rechercher dans les options, les articles et les widgets des scripts injectés ou des URL inconnues
• Utilisateurs : examiner chaque administrateur et éditeur ; supprimer les comptes inconnus et réinitialiser les mots de passe restants
• Tâches planifiées : vérifier les événements cron de WordPress et les tâches cron de l'hébergement à la recherche de tout élément inhabituel
• Identifiants : renouveler les accès à l'hébergement, à la base de données, au SFTP et les clés API, et régénérer les clés de salage de sécurité de WordPress
• Point d'entrée : mettre à jour ou supprimer le composant vulnérable, corriger les accès faibles et rectifier les permissions de fichiers
• Vérification : relancer un scan, contrôler les pages en tant que visiteur connecté et anonyme, et demander le réexamen de tout avertissement de moteur de recherche ou de navigateur
• Durcissement : activer la MFA pour les administrateurs, limiter l'accès à l'administration, planifier les mises à jour et mettre en place une surveillance des modifications de fichiers

Ce qui n'est pas inclus

• Des instructions de suppression de malware au niveau des commandes destinées à du personnel non formé intervenant sur un site en production
• L'affirmation qu'un scan sans résultat signifie que le site est sain
• Des qualifications juridiques concernant la notification d'une violation ou la responsabilité
• Une surveillance continue après le nettoyage, sauf accord distinct

Quand le choisir

Utilisez cette liste de contrôle après les premières mesures de confinement, une fois que vous disposez d'une sauvegarde de l'état actuel et du contrôle des comptes clés. Elle est également utile comme liste de recette lorsqu'un prestataire annonce qu'un nettoyage est terminé : demandez quels éléments ont été couverts et ce qui a été trouvé. Si des données personnelles de clients, des données de paiement ou des identifiants de connexion ont pu être exposés, impliquez la personne responsable des obligations en matière de confidentialité et des obligations légales. Cet article constitue une information générale et non un conseil juridique.

Notre approche

Travaillez de l'extérieur vers l'intérieur, et du sain connu vers l'inconnu. Remplacez ce qui peut l'être par des copies propres, puis consacrez le temps d'examen à ce qui est propre à votre site : thèmes personnalisés, fichiers téléversés et contenu de la base de données. Consignez chaque modification, car ce registre aide à expliquer l'incident aux parties prenantes et étaye les décisions ultérieures. Ne reconnectez pas le site au trafic normal avant la fin de la vérification, et prévoyez le durcissement comme partie intégrante de la mission plutôt que comme une réflexion après coup. Notre service Incident Recovery couvre le confinement, le nettoyage du code malveillant, des portes dérobées et des utilisateurs non autorisés, la restauration sécurisée et la fermeture du point d'entrée identifié, avec un rapport écrit et des recommandations de durcissement. Une fois le problème immédiat résolu, une mission de durcissement du site web au périmètre défini séparément peut traiter la configuration plus large, la discipline de mise à jour et les contrôles d'accès. Conservez le rapport de nettoyage avec la documentation de votre site ; il sera utile si un problème similaire réapparaît.

Incident Recovery

Foire aux questions

Articles connexes