Remettre en état un site piraté, et qu'il le reste

Gardez par écrit ce que dit votre hébergeur : ce qu'il a détecté, quand, et sur quelle adresse. C'est le point de départ du dossier qui lui sera renvoyé, et ça évite d'avoir à reconstruire l'historique plus tard.

Et si le site traite des données personnelles, la question de la notification se pose, avec un délai. Ce n'est pas à moi de vous conseiller là-dessus, mais c'est à regarder tout de suite plutôt que dans trois semaines.

Sur le cas le plus lourd que j'ai traité, la compromission a duré sept semaines avant que l'hébergeur ne la détecte. Ni défacement, ni redirection, rien d'anormal à l'écran : l'attaquant se servait du site comme d'un serveur, et le client n'avait aucune raison de se douter de quoi que ce soit.

Un site qui réaffiche normalement n'est donc pas un site assaini, et c'est une confusion qui coûte cher : on croit l'incident terminé, puis la compromission revient. Pour situer ce type d'intervention dans un cadre plus large, voyez les cas d'intervention et la reprise d'existant.

Chercher des signatures connues ne trouve que ce qui est déjà répertorié. Tout le reste passe. Et trouver les fichiers ne suffit pas : tant que le mécanisme qui les réinstalle reste en place, le site se recompromet.

Il recense ce qui a été trouvé et à quel endroit, ce qui a été corrigé, et ce qui reste à décider. Le format est le même quelle que soit l'ampleur du cas, et il se transpose à un ensemble de sites lorsque plusieurs sont touchés en même temps.

S'il y a une bonne nouvelle dans une compromission, c'est celle-là : elle oblige à ouvrir le capot. Beaucoup de choses qu'on repousse depuis des années deviennent peu coûteuses à traiter, puisqu'on est déjà dedans.

Sur le cas le plus lourd que j'ai traité, les trois conditions étaient réunies et le contenu a été intégralement conservé. Ce n'est pas systématique, et je préfère le dire avant plutôt que de le découvrir ensemble.

Je ne promets pas davantage de toujours établir par où c'est entré. Sur ce même cas, les journaux les plus anciens encore disponibles chez l'hébergeur dataient de cinq semaines après l'intrusion. Deux hypothèses restaient plausibles, une bibliothèque abandonnée depuis 2014 avec une faille d'exécution de code, et des identifiants FTP stockés en clair. Je n'ai pas pu trancher, je l'ai écrit dans le rapport, et les deux ont été traitées.

Je ne nomme pas non plus les clients concernés et je ne montre pas leur environnement : la méthode se raconte, les accès ne se montrent pas.