MAJ 31\/07\/2024 – En r\u00e9sum\u00e9 <\/h2>\n\n\n\n
Selon une source en interne, l’h\u00e9bergeur ne serait vraiment pas en cause. L’hypoth\u00e8se d’un entretien insuffisant des sites pirat\u00e9s resterait ainsi privil\u00e9gi\u00e9e. Toujours selon cette source interne, les moyens mis en place par l’h\u00e9bergeur pour d\u00e9terminer l’origine pr\u00e9cise de ce souci sont remarquables (quelques exemples m’ont \u00e9t\u00e9 donn\u00e9s, j’approuve la strat\u00e9gie). Enfin, m\u00eame si le nombre de sites impact\u00e9s peut sembler \u00e9lev\u00e9, il faut mettre cela en perspective avec le parc important d’o2switch : l’impact r\u00e9el resterait tr\u00e8s limit\u00e9 en proportion et la vaste majorit\u00e9 des clients ne devrait pas \u00eatre impact\u00e9e par ce souci sp\u00e9cifique.<\/p>\n\n\n\n
De plus, le soir du 30\/07\/2024, o2switch a fait un geste remarquable et tr\u00e8s rare dans le monde des gros h\u00e9bergeurs, en nettoyant le hack sur les sites impact\u00e9s. Une r\u00e9action courageuse qui m’a surpris de la part d’un h\u00e9bergeur. En effet, les plus gros h\u00e9bergeurs ont plut\u00f4t tendance \u00e0 avoir l’habitude inverse, c’est \u00e0 dire de laisser les clients se d\u00e9brouiller lorsque le souci vient des sites finaux en eux-m\u00eame. L’investissement de l’h\u00e9bergeur est r\u00e9el ici et suscite mon plus grand respect.<\/p>\n\n\n\n
On rappelle qu’en s\u00e9curit\u00e9, le plus important est la pr\u00e9vention : faites la maintenance de votre site avec les mises \u00e0 jour automatiques, de bonnes sauvegardes et n’oubliez pas de d’utiliser les derni\u00e8res versions de PHP compatibles. Si besoin d’aide pour cela, c’est ma sp\u00e9cialit\u00e9 \ud83d\ude09<\/p>\n<\/div>\n\n\n\n
\ud83d\udcc4 Mode op\u00e9ratoire du hack<\/h2>\n\n\n\n
Le hack redirige les utilisateurs mobile vers des sites frauduleux, notamment en rapport avec la guerre Ukraine\/Russie via un URL shortener h\u00e9berg\u00e9 aux Emirats Arabes Unis.<\/p>\n\n\n\n
Techniquement il consiste en une injection de code JavaScript obfusqu\u00e9 dans tous les posts WordPress du site. Il est donc charg\u00e9 dans les pages et articles et parfois dans d’autres plugins comme les plugins de cookies, les plugins d’avis utilisateurs, etc.<\/p>\n\n\n\n
Voici un aper\u00e7u du code pirate apr\u00e8s d\u00e9-obfuscation, qui permet m\u00eame sans parler ce langage de comprendre que l’action a lieu lors du clic et qu’une URL al\u00e9atoire est s\u00e9lectionn\u00e9e en fonction du \u00ab\u00a0UserAgent\u00a0\u00bb, c’est \u00e0 dire du navigateur utilis\u00e9 :<\/p>\n\n\n\n![\"\"](\"https:\/\/portail.lrob.fr\/wp-content\/uploads\/2024\/07\/code-pirate-deobfusque-854x1024.png\")