Signes qu’un site est piraté et premières mesures sans détruire les preuves

But de l’article

Ce guide vous aide à reconnaître les signes courants d’une compromission sur WordPress, WooCommerce ou PrestaShop et à exécuter des mesures immédiates et sûres. L’objectif est de limiter l’accès de l’attaquant, préserver les preuves pour une analyse ultérieure et préparer une restauration propre, sans effectuer d’actions irréversibles automatiquement.

À qui s’adresse cet article

• Administrateurs techniques ou responsables de site.
• Personnes ayant accès FTP/SFTP, panneau d’hébergement et interface d’administration CMS.
• Convient aux sites WordPress, WooCommerce (plugin WordPress) et PrestaShop 1.7–9.

Prérequis

• Accès à un compte administrateur du CMS (sans partager le mot de passe par e-mail ou chat).
• Accès FTP/SFTP ou gestionnaire de fichiers de l’hébergeur.
• Accès au panneau d’hébergement (cPanel, Plesk, etc.) si disponible.
• Sauvegarde récente connue et vérifiable (si possible, ne pas restaurer immédiatement).
• Licence Securantis activée ou possibilité d’activer le plugin/module pour lancer un scan.

Signes d’infection (indépendants de la plateforme)

1. Comportement visible pour les visiteurs

• Pages détournées vers du contenu non lié (redirections externes).
• Contenu ajouté : publicités agressives, formulaires inconnus, iframes tiers.
• Pages blanches ou erreurs 500 sur des pages publiques.

2. Activité côté administration

• Comptes administrateurs inconnus ou modifications de rôles.
• Échecs de connexion inhabituels ou usage massif du processus de réinitialisation de mot de passe.
• Apparition d’extensions/modules/themes non installés.

3. Indicateurs techniques

• Fichiers modifiés récemment (surtout fichiers PHP) que vous n’avez pas modifiés.
• Nouveaux fichiers PHP dans des dossiers de médias ou uploads.
• Tâches cron suspectes, scripts inconnus exécutés côté serveur.
• Envois massifs d’e-mails depuis le domaine.

4. Signes côté serveur et réseau

• Charge CPU, mémoire ou I/O soudainement élevée.
• Trafic sortant vers IPs inconnues ou connexions anormales.
• Portscans ou tentatives répétées sur le wp-login / backoffice.

Mesures immédiates (sans détruire les preuves)

Important : n’exécutez pas de suppression automatique ni n’écrasez les fichiers suspects avant collecte des preuves.

Étape 1 — Isoler mais ne pas supprimer

1. Mettre le site en mode maintenance (page statique) si possible pour limiter l’impact public.
2. Si le WAF (pare‑feu) est activé, augmenter la sensibilité pour bloquer les requêtes abusives, mais notez les journaux.
3. Ne supprimez aucun fichier suspect : placez-les sous quarantaine logique ou marquez-les pour examen.

Étape 2 — Collecte des preuves

1. Sauvegarde complète immédiate : base de données + fichiers (téléchargez une copie hors du serveur si possible).
2. Exportez les journaux Web (access.log, error.log) et les journaux d’e-mails si disponibles.
3. Notez les adresses IP ayant effectué des actions suspectes et capturez les horodatages.
4. Si vous avez un scanner (Securantis), lancez un scan complet : il identifiera fichiers modifiés, PHP dans uploads, intégrité du noyau et anomalies WooCommerce. Securantis enregistre aussi les événements et propose une quarantaine contrôlée — la mise en quarantaine n’efface rien automatiquement : c’est une action que vous décidez.

Étape 3 — Verrouiller les accès

1. Changez tous les mots de passe administratifs depuis une machine propre (administrateur CMS, comptes FTP/SFTP, base de données, panneau d’hébergement). N’envoyez jamais ces mots de passe par e-mail ou chat.
2. Révoquez toutes les sessions actives dans l’interface CMS quand possible.
3. Limitez l’accès par IP à l’espace d’administration si votre hébergeur le permet.
4. Activez ou renforcez la 2FA pour tous les comptes administrateurs.

Étape 4 — Empêcher la persistance

1. Désactivez les comptes administrateurs inconnus mais conservez les informations (ne supprimez pas immédiatement).
2. Désactivez les plugins/modules non essentiels pour l’analyse, en notant chaque changement.
3. Recherchez et notez les tâches cron inconnues et scripts de démarrage.

Résultat attendu après ces mesures

• Le site est limité en exposition publique.
• Vous disposez d’une sauvegarde et de journaux nécessaires pour analyse.
• Les accès initiaux de l’attaquant sont verrouillés (au moins temporairement).
• Les fichiers suspects sont isolés sans être détruits.

Réglages prudents

• N’activez pas de suppression automatique dans le scanner : préférez la quarantaine manuelle.
• Lorsque vous restaurez à partir d’une sauvegarde, vérifiez les versions de CMS, extensions et thèmes (ne restaurez pas une sauvegarde vulnérable sans mise à jour).
• Conservez les journaux originaux pendant au moins 30 jours pour l’analyse.

Erreurs fréquentes à éviter

• Supprimer sans sauvegarder : supprime un point d’analyse essentiel.
• Restaurer une sauvegarde vieille sans corriger la cause : l’attaquant peut réutiliser la même faille.
• Partager mots de passe par e-mail/chat ou créer un accès externe non sécurisé pour un prestataire sans contrat.

Dépannage courant

• Scan Securantis renvoie de nombreux fichiers marqués « suspicion de PHP dans uploads » : ne les supprimez pas automatiquement ; téléchargez ces fichiers et analysez leur entête et leur date, quarantenez et demandez une analyse manuelle si vous ne savez pas.
• Erreurs 500 après désactivation d’un plugin : réactivez-en un à la fois et vérifiez les journaux PHP.
• Courriel massif envoyé depuis votre domaine : changez le mot de passe SMTP/compte d’envoi, suspendez l’envoi et analysez les scripts qui appellent la fonction d’envoi.

Précautions légales et opérationnelles

• Conservez toute modification de l’état du serveur documentée (qui a fait quoi, quand).
• N’effacez pas de journaux avant d’avoir une copie.
• Si des données clients ont pu être exposées, vérifiez les obligations légales locales (notification des personnes concernées, autorités compétentes).

Quand contacter le support Securantis

Contactez le support si :

• Vous avez un cas d’infection et souhaitez une analyse approfondie fournissant un rapport de compromission.
• Le scanner identifie des fichiers critiques mais vous ne savez pas si la suppression/restauration est sûre.
• Vous suspectez une persistance (backdoor) mais ne trouvez pas l’origine.
• Vous avez besoin d’une intervention assistée (les accès pour une intervention payante doivent être fournis via l’espace client sécurisé après paiement).

Informations à fournir au support (sans envoyer de mots de passe)

• Description des signes observés et date/heure.
• Copies des journaux web et de sécurité (fichiers compressés si possible).
• Résultats du scan Securantis et liste des fichiers mis en quarantaine.
• Sauvegardes disponibles (date et type).

Conclusion et bonnes pratiques après résolution

• Appliquez immédiatement les mises à jour du CMS, thèmes et extensions.
• Renforcez l’authentification (2FA) et restreignez les accès par IP si possible.
• Implémentez une surveillance continue (scanner régulier, WAF activé, alertes).
• Planifiez des restaurations test et conservez une stratégie de sauvegarde hors site.

Si vous avez besoin d’aide pour analyser un scan Securantis, préparer les éléments pour une intervention ou planifier une restauration sûre, contactez notre support via l’espace client sécurisé.