Comment vérifier si un site contient un malware ?

Un malware de site web est du code que quelqu'un a ajouté aux fichiers ou à la base de données de votre site. Il n'attaque pas votre propre ordinateur comme le ferait une pièce jointe d'e-mail. Il agit sur vos visiteurs : il les envoie vers des arnaques, affiche de faux avertissements, capture ce qu'ils saisissent dans les formulaires, ou utilise votre site pour envoyer du spam.

La vérification prend une quinzaine de minutes. Voici quatre étapes, de la plus simple à la plus poussée, et un plan pour le cas où vous trouveriez quelque chose.

Les symptômes que vous pouvez repérer sans outil

Avant d'ouvrir un outil, demandez-vous si l'un de ces cas s'est produit :

• un client dit qu'en ouvrant votre site il est arrivé sur un jeu-concours, une fausse boutique ou un message affirmant que son téléphone a un virus,
• une recherche Google site:votredomaine.fr affiche des pages que personne dans votre entreprise n'a créées, comme des publicités pour des médicaments ou du texte en japonais,
• le navigateur affiche un avertissement rouge avant de laisser entrer,
• votre hébergeur a suspendu le compte ou vous a écrit au sujet de fichiers malveillants,
• les e-mails de votre domaine ont commencé à arriver dans les courriers indésirables,
• un administrateur que vous ne connaissez pas est apparu dans l'administration WordPress.

Pas de symptôme ne veut pas dire site sain. Le code malveillant ne se montre souvent qu'à une partie des visiteurs, par exemple seulement sur mobile et seulement à ceux qui arrivent depuis Google. Un administrateur connecté ne voit généralement rien. Ces signes sont détaillés dans les signes que votre site a été piraté.

Étape 1 : Google Safe Browsing

Ouvrez la page d'état des sites de Google Safe Browsing et saisissez votre adresse. Google indique s'il considère le site comme dangereux. Chrome et plusieurs autres navigateurs utilisent la même liste : si votre site y figure, vos clients voient un avertissement.

La limite : la liste n'affiche que ce que Google a déjà trouvé. Une infection récente n'y est peut-être pas encore.

Étape 2 : Google Search Console

Si vous avez la Search Console, ouvrez le rapport Problèmes de sécurité. Google y liste le contenu piraté (code injecté, contenu injecté et URL injectées), les malwares et les pages qui cherchent à tromper les visiteurs. Il donne en général des adresses en exemple, qui sont votre point de départ.

Quand le problème a disparu, vous demandez un réexamen depuis le même rapport. La marche à suivre est expliquée dans que faire quand Google dit que votre site est dangereux.

Si vous n'avez pas la Search Console, demandez à la personne qui s'occupe de votre site de vous ajouter comme propriétaire. Il faut un enregistrement DNS ou un fichier sur le serveur, et c'est gratuit.

Étape 3 : une analyse de l'extérieur

Un scanner en ligne voit le site comme un visiteur. Parmi ses plus de 20 contrôles, ShieldWave regarde :

• si le domaine figure sur des listes de menaces : Google Safe Browsing, URLhaus et des listes de blocage DNS comme Spamhaus,
• si le code de la page d'accueil contient des cadres cachés, des redirections suspectes dans des scripts ou du code obscurci exécuté par eval,
• si la page charge des scripts depuis des adresses IP brutes ou depuis des hôtes malveillants connus,
• si un mineur de cryptomonnaie tourne sur la page,
• si des formulaires envoient des données vers un serveur étranger,
• si des fichiers téléchargeables par tous se trouvent sur le serveur, comme une sauvegarde du site.

La limite : un scanner voit ce que le site lui envoie. Un code qui ne se montre qu'aux visiteurs mobiles venant de Google, ou une porte dérobée cachée dans un fichier PHP sans trace dans la page, peut rester invisible. C'est à cela que sert l'étape quatre.

Étape 4 : un contrôle de l'intérieur

Vous pouvez contrôler les fichiers du serveur de deux façons. Beaucoup d'hébergeurs proposent un scanner de fichiers dans leur panneau de contrôle, en général dans les paramètres de sécurité. Sur WordPress, ajoutez une extension de sécurité qui compare vos fichiers aux sommes de contrôle officielles de WordPress.org et cherche des fichiers PHP dans le dossier des téléversements, de nouveaux administrateurs et du spam injecté dans les articles.

Comment en choisir une est expliqué dans une extension de sécurité WordPress gratuite : ce qu'elle doit vérifier.

Comment un malware arrive sur un site

Le savoir aide au nettoyage, car il faut ensuite fermer la même porte d'entrée. Sur les sites de petites entreprises, quatre voies reviennent sans cesse :

• Une extension ou un thème obsolète avec une vulnérabilité connue. Des robots testent un nombre énorme de sites à la recherche de versions précises et entrent partout où personne n'a fait la mise à jour.
• Un mot de passe volé ou deviné. Pour l'administration WordPress, le FTP ou l'hébergement, souvent un mot de passe utilisé aussi sur un autre service.
• Une extension ou un thème venant d'une source pirate. Des modules payants proposés « gratuitement » sur des sites quelconques arrivent parfois avec une porte dérobée incluse.
• Un voisin sur le même serveur. Sur un hébergement mutualisé bon marché, le site infecté d'un autre client peut atteindre vos fichiers si le serveur est mal configuré.

Corriger les symptômes sans fermer la porte d'entrée se termine généralement par le même problème quelques jours plus tard.

Que faire en premier quand vous trouvez quelque chose

1. Ne supprimez rien à l'aveugle. Demandez d'abord à votre hébergeur ou à votre développeur une copie du site dans son état actuel. Elle aide à comprendre ce qui s'est passé et depuis quand.
2. Changez les mots de passe. Ceux de l'administration WordPress, de l'hébergement, du FTP, de la base de données et des boîtes e-mail de votre domaine. Supprimez les comptes administrateur que vous ne reconnaissez pas.
3. Notez ce que vous voyez. Captures d'écran, dates, adresses des pages suspectes, formulations des e-mails de clients.
4. Prévenez votre hébergeur. Il dispose souvent d'outils et de journaux auxquels vous n'avez pas accès.
5. Pensez à la protection des données. Si le site collecte des données personnelles, par un formulaire ou une boutique par exemple, et que ces données ont pu fuiter, le RGPD (article 33) vous donne 72 heures à partir du moment où vous avez connaissance de la violation pour la notifier à votre autorité de contrôle. D'autres pays ont leurs propres règles : vérifiez celles qui s'appliquent à vous.

Quand appeler un développeur

Tout de suite si l'un de ces points est vrai :

• le site encaisse des paiements ou collecte des données de clients,
• Google ou un navigateur avertit les visiteurs,
• votre hébergeur a bloqué le compte,
• le code malveillant revient après suppression, ce qui indique en général une porte dérobée que personne n'a encore trouvée,
• vous ne savez pas quels fichiers ont été modifiés.

Supprimer un seul fichier suffit rarement. Un nettoyage typique consiste à restaurer le site depuis une sauvegarde saine antérieure à l'infection, à tout mettre à jour, à changer les mots de passe et à découvrir comment l'attaquant est entré. Donnez à votre développeur la liste des symptômes, les dates et les résultats de l'analyse. Le rapport ShieldWave complet comprend un descriptif qu'il peut chiffrer tout de suite.

Vérifiez votre site. Saisissez votre adresse sur shieldwave.io. Cela prend environ 90 secondes, sans mot de passe ni compte.