Des processus inconnus tournent sur mon serveur, l'hébergeur dit de 'nettoyer' — par où commencer ?

j'ai eu le même souci l'an dernier, ils sont entrés via une faille d'un plugin WordPress... J'ai fait une requête avec wpdb à l'époque, un compte admin avait été ajouté dans la table wp_users. J'ai supprimé cet admin mais il restait du code shell dans le système de fichiers un fichier .jpg qui était en fait un exécutable. L'hébergeur a dit que c'était fini...

Pour trouver le webshell, lancez cette commande find : find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. Filtrez les requêtes POST dans les logs d'accès, surtout sur les endpoints d'upload de fichiers. Vous pouvez lancer WPScan pour un scan de vulnérabilités mais isoler le réseau est critique avant. Vérifiez les URLs siteurl et home dans la table wp_options de la BDD, elles ont peut-être été modifiées.

Ouh là, c'est vraiment pas top. Bon, t'as l'air super paniqué. bref la première chose à faire c'est vraiment de faire un backup, puis désactive les plugins et les thèmes un par un. Va dans l'admin WP vérifie les utilisateurs. Ils ont peut-être créé un nouveau compte admin. Ensuite installe un plugin de sécurité et mets à jour WP. Si t'as encore des problèmes après un moment contacte ton hébergeur.

Pense comme si tu faisais une analyse de cybersécurité : 1) coupe le trafic réseau, 2) prends un snapshot système, 3) cherche les vulnérabilités (web shell, user BDD, cron job), 4) identifie le vecteur d'intrusion (quel plugin, quel compte, quand), 5) suppression et restauration. Sur WordPress c'est souvent dû à un plugin non mis à jour ou un mot de passe faible. La semaine dernière on a eu un cas similaire sur un site, le mot de passe de la BDD était en dur dans wp-config.php, phpmyadmin était ouvert...

Ça me paraît bizarre, l'hébergeur te signale direct le code malveillant ? Ils l'ont détecté sur leurs systèmes donc. Si t'as pu te connecter en SSH ça veut dire que t'as encore accès... T'as pu jeter un œil à la base de données aussi ? Donc l'exploit est toujours actif ou ils ont juste oublié le shell ? Tu as fait ton dernier backup quand ? Si tu veux restaurer, tu peux le faire depuis un ancien backup ?

oh non, hack WordPress..... c'est vraiment chiant... mais simplifie-toi la vie : reviens au dernier backup. restaure MySQL et les fichiers... puis mets tout à jour sur WP. comme ça ce sera bien propre... et fais vérifier par l'hébergeur aussi, appelle-les.

Merci, c'était exactement la réponse que je cherchais. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Corrigez-moi si je me trompe.

Je me permets une petite mise en garde. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. Bon courage.

Enregistré.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. franchement aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Voilà désolé si je me suis étendu.

Vous avez raison. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

À votre place, j'irais par cette voie.

La réponse ci-dessus va droit au but. Essayer de faire cela seul est la voie la plus coûteuse.

Bien sûr, cela change si votre situation est différente.

Mes doutes sont levés, merci.

Je ne savais pas ça.

Exactement, et ce n'est pas si connu que ça. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Vous avez raison, je suis aussi passé par là. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je n'ai aucune expérience en virus sur mon serveur, c'est pourquoi je pose la question. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Je suis aussi curieux de savoir si d'autres font autrement.

Vous avez raison. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.