L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez o2switch
- L'offre unique héberge souvent des dizaines de sites sur le même compte. Ils partagent tous le même utilisateur système : une faille sur un site donne accès à tous les autres, et un nettoyage site par site ne sert à rien.
- Le panneau de gestion propose un antivirus intégré. Il détecte réellement des choses, mais son bouton de nettoyage global est dangereux : il propose de supprimer des fichiers de configuration légitimes dont le retrait casse des pages. Le tri se fait à la main, ligne par ligne.
- Les dossiers de sauvegarde de certaines extensions contiennent des fichiers de configuration de même taille que ceux déposés par les intrus. Les distinguer par la taille produit des faux positifs : il faut lire leur contenu.
- Les tâches planifiées doivent appeler l'interpréteur explicitement. Une commande qui fonctionne en console peut échouer en tâche planifiée sans laisser la moindre trace.
En cas de suspension
o2switch dialogue plutôt bien et rouvre rapidement dès lors que le rapport indique le point d'entrée. Leur message de suspension cite en général un chemin de fichier précis, qui est un excellent point de départ.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode reste la même. On inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. Les 96 % de cas se ramènent à trois causes : une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce ne sont pas des attaques ciblées mais des robots qui balaient des failles connues.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.