Les sites web construits sur des plateformes CMS populaires sont les plus fréquemment sujets aux infections virales. Lorsqu'il s'agit d'une infection de site web, les attaquants poursuivent généralement des objectifs tels que l'envoi de spam en utilisant les ressources d'hébergement, ou la substitution de formulaires d'inscription et de paiement dans le but d'intercepter des données.

Étant donné que la plupart des sites web traitent les paiements du côté de la passerelle et non sur le site lui-même, le vol de cartes de paiement est généralement un cas rare. Plus souvent, les sites web ordinaires sont piratés pour la distribution de spam et la création de botnets, qui sont ensuite vendus ou loués comme botnets DDoS.

Si votre fournisseur d'hébergement ou vous-même remarquez une activité de tels scripts, il est nécessaire d'effectuer une analyse complète du site web à la recherche de virus. Dans cet article, nous présenterons plusieurs façons de le faire.

1. Analyse antivirus sur votre propre PC

Téléchargez l'intégralité du site web en archivant tous les fichiers. Cela peut être fait dans le gestionnaire de fichiers de votre panneau de contrôle d'hébergement. Sélectionnez le dossier racine du site web (par défaut, pour le premier site, c'est httpdocs) et créez une archive via le menu du gestionnaire de fichiers.

Téléchargez et décompressez l'archive, puis lancez une analyse antivirus. Notez les fichiers qui déclenchent des avertissements et examinez leur code manuellement.

Ne laissez pas la sauvegarde créée à la racine et ne lui donnez pas de noms typiques, car les bots scannent les noms de base dans les dossiers racine et standard.

Vous devez vérifier les fichiers à la recherche de code suspect, comme la présence de base64. Dans la plupart des cas, les soi-disant backdoors et autres scripts malveillants sont encodés de cette manière.

Tout ce qui est en base64 n'est pas un virus ; parfois, de petites icônes pour le site web et l'interface d'administration sont stockées ainsi par commodité.

2. Différence par date de modification

Lors de l'installation d'un site web, tous les fichiers (à l'exception des photos d'articles, etc.) auront la même date de création – c'est-à-dire que la date et l'heure de création de presque tous les fichiers et dossiers du site seront identiques. Et si vous avez récemment mis à jour votre CMS ou ses plugins, la date reflétera cette mise à jour.

Sur la base de ce fait, il est facile de trouver les fichiers dont les dates diffèrent et de les vérifier, surtout si vous n'avez effectué aucune mise à jour.

3. Scripts d'analyse tiers

Il existe également de nombreux scripts disponibles en ligne pour analyser les sites web à la recherche de virus ; le script Aibolit était populaire à une époque. Utilisez-les si vous leur faites confiance, et vérifiez les avis avant de les déployer et de les exécuter.

4. Vérification et réinstallation du CMS

Le moyen le plus fiable de se débarrasser des virus est de copier votre site web dans un dossier séparé, d'effectuer une installation propre du CMS, puis de transférer manuellement toutes les données nécessaires, telles que le template et la base de données. Cette méthode est la meilleure solution, surtout si le site a été infecté en raison d'une longue absence de mises à jour.

5. Examen des journaux d'événements

D'une manière ou d'une autre, tous les événements et requêtes sont enregistrés dans des fichiers journaux (logs), y compris l'exécution de scripts par des attaquants. Vérifiez le fichier access_log pour son contenu et les scripts suspects.

Pour éviter de tels incidents, il est crucial de mettre à jour votre CMS et ses modules en temps voulu, et d'utiliser les permissions correctes pour les fichiers et les dossiers.