L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez o2switch
- L'offre unique héberge souvent des dizaines de sites sur le même compte. Ils partagent tous le même utilisateur système : une faille sur un site donne accès à tous les autres, et un nettoyage site par site ne sert à rien.
- Le panneau de gestion propose un antivirus intégré. Il détecte réellement des choses, mais son bouton de nettoyage global est dangereux : il propose de supprimer des fichiers de configuration légitimes dont le retrait casse des pages. Le tri se fait à la main, ligne par ligne.
- Les dossiers de sauvegarde de certaines extensions contiennent des fichiers de configuration de même taille que ceux déposés par les intrus. Les distinguer par la taille produit des faux positifs : il faut lire leur contenu.
- Les tâches planifiées doivent appeler l'interpréteur explicitement. Une commande qui fonctionne en console peut échouer en tâche planifiée sans laisser la moindre trace.
En cas de suspension
o2switch dialogue plutôt bien et rouvre rapidement dès lors que le rapport indique le point d'entrée. Leur message de suspension cite en général un chemin de fichier précis, qui est un excellent point de départ. Le contenu attendu de ce rapport est détaillé dans la page site suspendu par l'hébergeur.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode, elle, ne dépend pas de l'hébergeur, et je la détaille pas à pas dans la méthode de nettoyage d'un WordPress piraté. On inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. Ce qui change, ce sont les accès et l'endroit où se trouvent les journaux : les contraintes ne sont pas les mêmes chez OVH, Gandi ou Infomaniak. Les 96 % de cas se ramènent à trois causes : une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce ne sont pas des attaques ciblées mais des robots qui balaient des failles connues. Si vous préférez confier le travail, voici comment se passe une intervention sur un WordPress piraté.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.