Que faire quand son site a été piraté ?

Avant toute chose

Lire cet article : SPIP hacké, que faire ?

Vérifier si votre hébergement est limité

En cas de piratage ou de suspicion (il peut y avoir des faux-positifs), certains hébergeurs (OVH par exemple) bloquent les requêtes sortantes par mesure de sécurité.

Si c’est le cas, l’installation de SPIP via spip_loader et des plugins via SVP sont bloqués ainsi que l’envoi de mail via les formulaires (contact, formidable), l’envoi des mails de notification des mises à jour…etc. Bref, l’hébergement est en mode dégradé, la priorité est donc de lever ce blocage pour retrouver un hébergement pleinement fonctionnel.

La méthode varie selon les hébergeurs, il faut donc voir au cas par cas avec le support technique mais, généralement, il faut aller dans la gestion de l’hébergement dans la console d’admin de votre hébergeur.

Le plus simple : Réinstaller son site à partir zéro

Pourquoi repartir de zéro ?

Les fichiers malveillants peuvent être cachés n’importe où dans l’arborescence du site voir même, prendre la place d’autres fichiers légitimes. Il peut également y avoir des problèmes de droits empêchant de les supprimer.

Avec tout ça, il est compliqué de s’assurer qu’ils ont tous été supprimés donc repartir d’un répertoire vide permet de s’assurer de bonnes bases.

La méthode

1. changer les identifiants des comptes FTP et SQL
2. en FTP, renommer le dossier principal du site, par exemple monsite devient monsite_old
3. restaurer une sauvegarde récente de la base de données mais antérieure à l’attaque
4. recréer un dossier vide monsite et télécharger spip_loader.php dedans (voir ici)
5. réinstaller SPIP avec spip_loader en indiquant les identifiants SQL changés en 2
6. ré-installer tous les plugins via SVP
7. vérifier qu’il n’y a pas de fichiers malveillants dans les dossiers personnalisés (/squelettes, /IMG, plugins persos...) avant de les déplacer du dossier monsite_old vers monsite
8. activer les plugins
9. renommer htaccess.txt en .htaccess et y rajouter les éventuels ajouts persos
10. vérifier que tout est en ordre

Une fois que tout est bon et que vous êtes sûr·e d’avoir tout récupéré, n’oubliez pas de supprimer l’ancien dossier car il peut contenir des fichiers malveillants et déclencher un blocage de votre hébergeur.

Source : touti sur Discuter

Sur les hébergements avec les tâches crons

Si votre hébergement permet le Cron, il faut aussi vérifier si aucun script n’est appelé par cron.

En console, vérifier les tâches appelées en cron

crontab -e

Autres bonnes pratiques

Profitez pour vérifier votre PHP et si c’est possible, essayer d’avoir la version de PHP la plus haute supportée par votre SPIP (ce qui donne PHP 8.4/8.5 pour SPIP 4.4.23).

Pour aller plus loin

• Nettoyer un site SPIP piraté par b_b
• Script spip-check par Gilles Vincent
• Script spip-check-cli par Gilles Vincent