Des cybercriminels utilisent des sites WordPress pour diffuser des logiciels malveillants et compromettre des visiteurs. Le scénario rapporté implique notamment un WordPress botnet, où les pages infectées peuvent afficher une fausse mise à jour du navigateur ou d’un autre logiciel. Si vous suivez l’instruction et téléchargez/exécutez le fichier proposé, vous pouvez installer un malware sans vous en rendre compte, et exposer des informations sensibles.
Dans cet article, vous trouverez des pistes concrètes pour les propriétaires de sites WordPress et des conseils de prudence pour les visiteurs.
Pourquoi un WordPress botnet peut viser vos visiteurs
Le mécanisme décrit repose sur la mise en scène d’une mise à jour. Les visiteurs reçoivent un message qui ressemble à une notification légitime. L’objectif est de les pousser à télécharger un fichier, souvent au format .zip ou .js, puis à l’exécuter.
Une fois le fichier lancé, des effets indésirables peuvent apparaître : installation de malware et, dans certains cas, vol d’identifiants. Les données récupérées (par exemple informations de connexion, éléments financiers, e-mails et informations système) peuvent ensuite être utilisées ou revendues.
En plus du risque technique, ce type d’attaque entraîne souvent un coût réputationnel : un site compromis peut sembler peu fiable aux yeux des utilisateurs.
Comment reconnaître une fausse mise à jour sur un site WordPress
Un point clé de la campagne est la tromperie. Le message affiché peut ressembler à une mise à jour attendue, comme Update Chrome/Edge. Pourtant, il ne s’agit pas d’une procédure normale.
En règle générale :
- Les navigateurs se mettent à jour via le navigateur lui-même.
- Ou via l’application officielle / le store approprié.
- Sur une page web visitée, il n’y a pas de notification d’update “standard” comme celles qui incitent au téléchargement d’un fichier .zip ou .js.
Si une page vous demande de télécharger et d’exécuter un fichier à la suite d’un avertissement de mise à jour, considérez cela comme un signal d’alerte.
Mesures prioritaires pour protéger un site WordPress
En tant que propriétaire d’un site WordPress, l’objectif est double : réduire les points d’entrée et détecter rapidement toute modification. Voici les actions recommandées.
1) Vérifiez des comptes administratifs suspects
Contrôlez s’il existe des comptes de gestion dont le nom commence par wp-maintenance ou wp-backup. Leur présence peut être un indice d’infection. Si vous ne les reconnaissez pas, supprimez-les.
2) Renforcez l’accès avec la MFA/2FA
Activez la double authentification (MFA/2FA) pour les administrateurs. Pensez aussi à protéger l’adresse e-mail de gestion avec MFA.
3) Limitez l’accès à /wp-admin
Restreignez l’accès à /wp-admin à l’aide d’une liste blanche IP. Moins il y a de chemins d’accès, moins les attaques ont de chances de réussir.
4) Réduisez le nombre de comptes à privilèges
Limitez le nombre d’administrateurs et évitez de multiplier les comptes “root”. Les comptes en trop sont autant de portes potentielles.
5) Utilisez des mots de passe forts et uniques
Adoptez des mots de passe robustes et uniques, idéalement via un gestionnaire de mots de passe. Évitez les schémas réutilisés.
6) Activez les alertes et la journalisation
Configurez des notifications pour les actions inhabituelles, comme :
- l’installation de thèmes ou de nouveaux plugins,
- les changements de rôles.
Activez également la journalisation des modifications et des tentatives de connexion. En cas d’incident, ces traces accélèrent l’investigation.
7) Bloquez les requêtes suspectes avec un WAF
Mettre en place un WAF (pare-feu applicatif web), ou un pare-feu spécifique à WordPress, aide à bloquer les requêtes malveillantes avant qu’elles n’aboutissent.
8) Empêchez l’exécution de PHP dans les téléchargements
Une mesure sensible consiste à bloquer l’exécution de fichiers PHP dans le répertoire des uploads (wp-content/uploads/). Cela réduit la probabilité d’abus via des fichiers déposés.
9) Maintenez WordPress et l’écosystème à jour
Gardez WordPress, les plugins et les thèmes à jour. Supprimez aussi les plugins et thèmes inutilisés.
10) Installez uniquement depuis des sources fiables
N’ajoutez que des extensions provenant de sources de confiance. Les éléments non vérifiés augmentent la surface d’attaque.
11) Désactivez l’édition de fichiers si elle n’est pas nécessaire
Si vous n’en avez pas besoin, désactivez l’édition de fichiers intégrée à WordPress.
12) Appuyez-vous sur des sauvegardes et de la surveillance
Assurez-vous d’avoir des sauvegardes fiables (idéalement pas sur le même serveur). Ajoutez un monitoring avec scan malware et contrôle d’intégrité afin de repérer des changements inexpliqués.
Si vous suspectez un abus : que faire immédiatement
En cas de doute sur un usage malveillant de votre site, prenez des mesures rapides :
- Mettez le site temporairement en maintenance.
- Restaurez idéalement depuis une sauvegarde saine (non compromise).
- Appliquez les mises à jour nécessaires sur le système et les composants.
- Changez l’ensemble des mots de passe concernés.
L’idée est de stopper l’exposition, éliminer la cause et empêcher la persistance.
Conseils pour les visiteurs face aux fausses mises à jour
Si vous êtes visiteur d’un site WordPress, votre vigilance joue un rôle central. Les signaux d’alerte ci-dessous visent à réduire le risque d’infection.
- Ne téléchargez rien et n’ouvrez pas les fichiers proposés.
- Fermez l’onglet/le navigateur si un message d’update vous pousse à télécharger un fichier.
- Effectuez les mises à jour uniquement depuis les canaux officiels.
Pour rappel, voici des chemins typiques de mise à jour dans les navigateurs :
- Microsoft Edge : Paramètres > À propos de Microsoft Edge.
- Google Chrome : Menu > Aide > À propos de Google Chrome.
- Mozilla Firefox : Menu > Aide > À propos de Firefox.
Si vous pensez avoir été exposé :
- Lancez une analyse antivirus complète et supprimez les téléchargements suspects.
- Ne désactivez jamais votre antivirus pour installer un programme.
- Déconnectez-vous sur toutes les sessions actives des comptes essentiels afin d’invalider les sessions potentiellement volées.
- Modifiez les mots de passe importants (e-mail, travail, banque) depuis un appareil sain.
- Activez la MFA/2FA quand c’est possible et utilisez des mots de passe forts et uniques.
- Évitez de stocker des mots de passe dans le navigateur si vous craignez une compromission.
- En cas de doute, signalez à votre partenaire IT/sécurité, surtout si c’est un équipement professionnel.
Information et mobilisation côté organisation
Des actions de notification et d’accompagnement sont menées envers les propriétaires de sites concernés. L’idée est d’aider les administrateurs à appliquer rapidement les recommandations afin de limiter l’impact.
Dans le cadre plus large de la lutte contre les opérations cybercriminelles, le démantèlement d’un botnet a été mené lors d’une opération internationale. Même si l’infrastructure concernée peut être neutralisée, les bonnes pratiques restent déterminantes : un site compromis peut servir à tromper des visiteurs et à relayer des logiciels malveillants.
Conclusion
Un WordPress botnet peut transformer un site en relais d’attaque via des fausses mises à jour, des téléchargements guidés et le vol d’identifiants. En tant que propriétaire, vérifiez les accès, activez la MFA/2FA, bloquez les comportements à risque et surveillez les changements. En tant que visiteur, méfiez-vous des alertes d’update qui incitent à télécharger des fichiers et privilégiez les mises à jour via les canaux officiels. Agir rapidement réduit fortement le risque pour vos comptes et votre réputation.
Source: https://www.ncsc.nl/alerts/wordpress-sites-doelwit-van-botnet-bezoekers-ook-geraakt
