Études de cas : Réparation de sites piratés

Mercredi 18 février 2015

Chaque jour, des milliers de sites Web sont piratés. Les sites piratés peuvent nuire aux utilisateurs en diffusant des logiciels malveillants, en collectant des informations personnelles ou en les redirigeant vers des sites qu’ils n’avaient pas l’intention de visiter. Les webmestres souhaitent réparer rapidement les sites piratés, mais la récupération après un piratage peut malheureusement s’avérer complexe.

Nous essayons de faciliter le processus de récupération après un piratage pour les webmestres grâce à des fonctionnalités telles que
Problèmes de sécurité,
Aide pour les sites piratés, et
une section de notre forum dédiée aux sites piratés. Récemment, nous avons discuté avec deux webmestres dont les sites avaient été piratés afin d’en savoir plus sur la façon dont ils ont réussi à les réparer. Nous partageons leurs histoires dans l’espoir qu’elles puissent inspirer d’autres webmestres victimes de piratage. Nous utilisons également ces histoires et d’autres commentaires pour améliorer notre documentation sur les sites piratés afin de simplifier le processus pour tout le monde à l’avenir.

Étude de cas n° 1 : Site Web de restaurant avec plusieurs scripts injectés par des pirates

Le site Web d’un restaurant utilisant WordPress a reçu un message de Google dans son compte Webmaster Tools l’avertissant que son site avait été modifié par des pirates. Pour protéger les utilisateurs de Google, le site a été étiqueté comme piraté dans les résultats de recherche de Google. Le webmestre du site, Sam, a examiné le code source et a remarqué de nombreux liens inconnus sur le site contenant des termes pharmaceutiques tels que « viagra » et « cialis ». Elle a également remarqué de nombreuses pages où les balises de méta-description (dans le HTML) avaient ajouté du contenu tel que « acheter du valtrex en floride ». Il y avait également des balises div
masquées (toujours dans le HTML) sur de nombreuses pages qui renvoyaient vers de nombreux sites. Aucun de ces liens n’avait été ajouté par Sam.

Sam a supprimé tout le contenu piraté qu’elle a trouvé et a soumis une demande de réexamen. La demande a été rejetée, mais dans le message reçu de Google, il lui a été conseillé de rechercher d’éventuels scripts inconnus dans les fichiers PHP (ou tout autre fichier de serveur), ainsi que des modifications apportées au fichier
.htaccess
. Ces fichiers sont susceptibles de contenir des scripts ajoutés par les pirates pour modifier le site. Ces scripts affichent généralement le contenu piraté uniquement aux moteurs de recherche, tout en le masquant aux utilisateurs normaux. Sam a vérifié tous les fichiers .php et les a comparés aux copies propres de sa sauvegarde. Elle a découvert du nouveau contenu ajouté à ses fichiers footer.php,
index.php, et functions.php. Lorsqu’elle a remplacé ces fichiers par les sauvegardes propres, elle n’a plus trouvé de contenu piraté sur son site. Lorsqu’elle a soumis une autre demande de réexamen, elle a reçu une réponse de Google l’informant que son site ne contenait plus de contenu piraté !

Bien que Sam ait nettoyé le contenu piraté de son site, elle savait qu’elle devait continuer à
sécuriser son site
contre de futures attaques. Elle a suivi les étapes ci-dessous pour assurer la sécurité de son site à l’avenir :

• Maintenez le CMS (système de gestion de contenu comme WordPress, Joomla, Drupal, etc.) à jour avec la version la plus récente. Assurez-vous que les plugins sont également à jour.
• Assurez-vous que le compte utilisé pour accéder aux fonctionnalités d’administration du CMS utilise un mot de passe fort et unique.
• Si le CMS le prend en charge, activez
  la validation en 2 étapes
  pour la connexion. (Cela peut également s’appeler l’authentification à deux facteurs ou l’authentification en deux étapes.) Cette mesure est également recommandée pour le compte utilisé pour la récupération du mot de passe. La plupart des fournisseurs de messagerie, comme
  Google,
  Microsoft,
  Yahoo!
  prennent tous cela en charge !
• Assurez-vous que les plugins et thèmes installés proviennent d’une source réputée : les plugins ou thèmes piratés contiennent souvent du code qui facilite encore plus l’intrusion des pirates !

Étude de cas n° 2 : Site Web professionnel avec de nombreuses pages piratées difficiles à trouver

Une propriétaire de petite entreprise nommée Maria, qui gère également son propre site Web, a reçu un message dans ses Webmaster Tools l’informant que son site avait été piraté. Le message donnait un exemple de page ajoutée par les pirates : https://example.com/where-to-buy-cialis-over-the-counter/. Elle a discuté avec son hébergeur qui a examiné le code source de la page d’accueil mais n’a trouvé aucun mot-clé pharmaceutique. Lorsque l’hébergeur a visité
https://example.com/where-to-buy-cialis-over-the-counter/, cela a renvoyé une page d’erreur. Maria a également acheté un service de recherche de logiciels malveillants, mais celui-ci n’a pas pu trouver de contenu malveillant sur son site.

Maria s’est ensuite rendue dans Webmaster Tools et a utilisé l’outil Explorer comme Google sur l’URL d’exemple fournie par Google (https://example.com/where-to-buy-cialis-over-the-counter/), qui n’a renvoyé aucun contenu. Perplexe, elle a soumis une demande de réexamen et a reçu un message de rejet lui conseillant de faire deux choses :

1. Vérifiez la version sans www de votre site, car les pirates essaient souvent de masquer du contenu dans des dossiers qui peuvent être négligés par le webmestre.

   Bien qu’il puisse sembler que https://example.com et https://www.example.com
   soient le même site, Google les traite en réalité comme des sites différents.
   https://example.com est appelé le « domaine racine », tandis que
   https://www.example.com est appelé le sous-domaine.
   https://www.example.com était vérifié pour Maria, mais pas https://example.com , ce qui est important car les pages ajoutées par les pirates étaient des pages sans www telles que
   https://example.com/where-to-buy-cialis-over-the-counter/. Une fois qu’elle a vérifié
   https://example.com , elle a pu voir avec succès le contenu piraté sur l’URL fournie grâce à l’outil Explorer comme Google dans Webmaster Tools.

2. Vérifiez si son .htaccess contient de nouvelles règles.

   Maria a discuté avec son hébergeur qui lui a montré comment accéder à son fichier .htaccess
   . Elle a immédiatement remarqué que son fichier .htaccess contenait du contenu étrange qu’elle n’avait pas ajouté :

   La règle
   mod_rewrite
   que vous voyez ci-dessus a été insérée par le pirate et redirige toute personne provenant de certains moteurs de recherche, ainsi que les robots d’exploration des moteurs de recherche, vers main.php, qui génère tout le contenu piraté. Il est également possible que ces règles redirigent les utilisateurs accédant au site sur un appareil mobile. Le même jour, elle a également constaté qu’une analyse récente des logiciels malveillants avait trouvé du contenu suspect dans le fichier main.php . De plus, elle a également remarqué un utilisateur inconnu dans la zone des utilisateurs FTP de son logiciel de création de sites Web.

Elle a supprimé le fichier main.php diller parcalar fichier, et l’utilisateur inconnu a été supprimé de sa zone d’utilisateurs FTP et son site n’a plus été piraté !

Étapes pour éviter d’être piraté à l’avenir

• Évitez d’utiliser FTP lors du transfert de fichiers vers vos serveurs. FTP ne chiffre aucun trafic, y compris les mots de passe. Utilisez plutôt SFTP, qui chiffrera tout, y compris votre mot de passe, comme protection contre les écoutes clandestines du trafic réseau.
• Vérifiez les permissions sur les fichiers sensibles comme .htaccess. Votre hébergeur pourra vous aider si vous avez besoin d’assistance. Le .htaccess fichier peut être utilisé pour améliorer et protéger votre site, mais il peut également être utilisé pour des piratages malveillants s’ils parviennent à y accéder.
• Soyez vigilant et recherchez de nouveaux utilisateurs inconnus dans votre panneau d’administration et tout autre endroit où il peut y avoir des utilisateurs capables de modifier votre site.

Nous espérons que votre site ne sera jamais piraté, mais si c’est le cas, nous avons de nombreuses ressources pour les webmasters piratés sur notre
Page d’aide pour les sites piratés. Si vous avez besoin de plus d’aide ou souhaitez partager vos propres astuces, vous pouvez publier dans notre
Forum d’aide pour les webmasters. Si vous publiez sur le forum ou soumettez une demande de réexamen pour votre site, veuillez inclure
#NoHacked.

Publié par Julian Prentice et Yuan Niu, Équipe Qualité de la Recherche