Victime du malware rostore salesonlinecheap2023 sur WordPress ?

malware rostore salesonlinechap2023 wordpress
5/5 - (3 votes)

Table des Matières

Un des malwares de redirection les plus répandus sur WordPress

 

Le malware rostore salesonlinecheap2023 est un virus qui cible les sites web fonctionnant sous WordPress de manière générale. Ce qui le rend particulièrement redoutable, c’est son aptitude à rediriger les visiteurs vers différentes destinations en fonction de leur provenance. Cette caractéristique le distingue de nombreux autres malwares.

La problématique ne se limite pas à une simple identification, elle s’étend également à la mise en place de mesures préventives et correctives. L’objectif de cet article est d’éliminer toute ambiguïté entourant ce malware. Pour y parvenir, nous explorerons ses multiples dimensions, son mode opératoire, et mettrons en lumière les tactiques de défense efficaces pour neutraliser sa menace.

rocket

Vous avez un site à désinfecter ou à sécuriser ?

    Comment le malware rostore salesonlinecheap2023  infecte les sites WordPress

     

    Généralement, ce type de malware s’infiltre dans le site via des failles de sécurité ou des plugins obsolètes. Une fois à l’intérieur du système, il commence à injecter du code malveillant dans les fichiers core de WordPress ou dans la base de données, ce qui lui permet de prendre le contrôle partiel ou total du site. Dans certains cas, il peut également créer un utilisateur admin fictif pour conserver un accès permanent.

     

     

    Comment le malware rostore salesonlinecheap2023 redirige vos visiteurs ?

     

    L’aspect le plus important du malware rostore salesonlinecheap2023 est son mécanisme de redirection en fonction de la source du trafic. Pour le trafic direct, il se peut que le malware ne fasse rien ou redirige vers une page légitime du site. Cela donne l’illusion que tout fonctionne normalement, ce qui peut retarder la détection du malware.

    En revanche, pour le trafic organique provenant de moteurs de recherche comme Google, le malware active son mécanisme de redirection. Il envoie les visiteurs vers des sites web de phishing ou des pages contenant des malwares supplémentaires, affectant ainsi le référencement et la réputation du site.

    Ce n’est pas tout, les malwares de redirections peuvent déclencher des pénalités Google. Si vous tardez à désinfecter votre site, vous pourriez observer quelques pertes de positions sur vos mots clés, dans les résultats de recherche Google.

     

     

    Code de redirection PHP utilisé par le malware salesonlinecheap2023:

     

    // Récupérer la valeur du referer
    $referer = $_SERVER['HTTP_REFERER'];
    
    // Vérifier si le trafic vient de Google
    if (strpos($referer, "google.com") !== false) {
        // Redirection pour les utilisateurs venant de Google
        header("Location: https://sitephishing[.]com");
        exit();
    } else {
        // Redirection pour le trafic direct ou venant d'autres sources
        header("Location: https://monsite[.]com");
        exit();
    }
    

     

    Ce script PHP utilise la superglobale $_SERVER['HTTP_REFERER'] pour déterminer d’où vient le visiteur. Il vérifie ensuite si “google.com” est présent dans cette valeur. Si c’est le cas, il redirige vers une page spécifique destinée aux utilisateurs venant de Google. Sinon, il redirige vers une autre page, qui pourrait être la page d’accueil ou toute autre page que vous choisissez.

    Notez que la vérification du HTTP_REFERER n’est pas infaillible. Des utilisateurs ou des bots pourraient masquer ou modifier cette information. De plus, certains navigateurs ou extensions de navigateurs peuvent restreindre le partage de cette information pour des raisons de confidentialité. Il s’agit donc d’une technique de base qui ne remplace pas une solution de sécurité robuste.

     

     

    Code de redirection javascript qui peut aussi être utilisé par ce Malware :

     

    var referrer = document.referrer;
      if (referrer.indexOf("google.com") !== -1) {
        window.location.href = "https://sitephishing[.]com";
      } else {
        window.location.href = "https://monsite[.]com";
      }
    

     

     

    Utilisation des règles .htaccess

     

    Si votre serveur tourne sur Apache, vous pouvez également utiliser le fichier .htaccess pour effectuer des redirections basées sur le champ Referer du header HTTP.

     

    RewriteEngine On
    RewriteCond %{HTTP_REFERER} google\.com [NC]
    RewriteRule .* https://exemple-page-pour-google.com [R,L]
    

     

     

    Utilisation d’un proxy inverse

     

    Si vous utilisez un proxy inverse comme Nginx, vous pouvez configurer des règles de redirection au niveau du serveur. Par exemple, voici comment cela pourrait être fait en utilisant des expressions régulières et des blocs if :

     

    server {
      location / {
        if ($http_referer ~* "google.com") {
          rewrite ^ https://exemple-page-pour-google.com permanent;
        }
      }
    }
    
    

     

     

    Le malware salesonlinecheap2023 redirige les visiteurs en filtrant les adresses IP

     

    En effet, il est possible que vous ou vos visiteurs ne soient pas forcément redirigé, L’explication est simple, le malware utilise un système de filtrage d’dresse IP permettant de rester plus ou moins discret en ne redirigeant qu’une seule fois une personne.

     

     

    Exemple de code permettant de filtrer les adresses IP en PHP :

     

    // Liste des adresses IP à ne pas rediriger
    $noRedirectIPs = ["192.168.1.1", "192.168.1.2"];
    
    // Récupération de l'adresse IP du client
    $clientIP = $_SERVER["REMOTE_ADDR"];
    
    // Vérification si l'adresse IP du client est dans la liste des adresses à ne pas rediriger
    if (!in_array($clientIP, $noRedirectIPs)) {
        // Redirection vers un autre site
        header("Location: https://www.example.com");
        exit;
    }
    

     

    Ce code utilise le tableau $noRedirectIPs pour stocker les adresses IP qui ne doivent pas être redirigées. Ensuite, il utilise la superglobale $_SERVER["REMOTE_ADDR"] pour obtenir l’adresse IP du client. Le code vérifie si cette adresse IP est dans la liste $noRedirectIPs. Si elle ne l’est pas, une redirection HTTP est effectuée.

     

     

    Méthodes de dissimulation du malware de redirection

     

    Dans le monde sombre des malwares, la dissimulation est un art. Les cybercriminels emploient des méthodes de plus en plus sophistiquées pour échapper à la détection. Voici quelques-unes des techniques courantes que ces logiciels malveillants utilisent pour rester cachés.

     

     

    Utilisation de l’obfuscation

     

    L’une des stratégies les plus courantes consiste à obfusquer le code, rendant ainsi son analyse plus difficile pour les experts en sécurité. L’obfuscation peut se faire via plusieurs techniques, comme l’utilisation de variables et de fonctions nommées de manière trompeuse, ou l’encodage en Base64.

     

    Exemple de code Base64 :

    eval(base64_decode('aWYgKCRfU0VSVkVSWydSRU1PVEVfQUREUiddID09ICcxOTIuMTY4LjEuMicpIHsgLy8gY29kZSBtYWxpY2ll
    dX0='));
    

    Note : Ce code est un exemple fictif et ne fait rien de malveillant. Il démontre simplement comment un code peut être encodé en Base64 pour échapper à la détection facile.

     

     

    Injection dans des fichiers légitimes

     

    Une autre tactique consiste à injecter le code malveillant dans des fichiers légitimes du système, rendant ainsi difficile sa localisation sans une analyse approfondie. Cela peut inclure des fichiers .htaccess, des fichiers de configuration WordPress comme wp-config.php, ou même dans des thèmes et des plugins.

     

     

    Utilisation de cron jobs

     

    Certains malwares configurent des tâches planifiées (cron jobs) pour se réactiver automatiquement à des intervalles réguliers, même après une tentative de suppression.

     

     

    Masquerade IP

     

    Comme vous l’avez mentionné, des malwares de redirection utilisent souvent un filtrage IP pour éviter de rediriger plusieurs fois la même personne, ce qui rend difficile leur détection.

     

     

    Exploitation de failles connues

     

    Les malwares tirent souvent parti de failles connues dans les plugins ou thèmes WordPress, ce qui leur permet de s’infiltrer sans éveiller de soupçons. Ils peuvent également utiliser des attaques de type “zero-day” contre des vulnérabilités inconnues.

     

     

    Emprunt de processus légitimes

     

    Dans certains cas, les malwares peuvent même emprunter des processus légitimes pour se masquer, donnant l’illusion que le système fonctionne normalement.

     

     

    Utilisation de domaines expirés ou de redirection

     

    L’utilisation de domaines expirés ou de redirection ajoute une couche de complexité supplémentaire pour ceux qui tentent de tracer la source du problème. Certaines fois, le script malveillant principal ne se trouve pas sur votre serveur mais sur un autre site victime du même pirate. En étant piraté, vous pouvez donc aussi devenir acteur, ce qui peut poser problème en cas de dépôt de plainte par exemple. Vous seriez personnellement responsable d’attaque sur des systèmes informatisés.

     

     

    Utilisation d’un Web Application Firewall (WAF) pour se protéger des attaques de malwares

     

    Pour faire le lien avec les malwares visant WordPress que nous avons abordés jusqu’ici, il faut savoir que les WAF représentent une première ligne de défense contre ces attaques. Ils jouent un rôle important en filtrant et en contrôlant le trafic entre le serveur web et les clients, ce qui peut être particulièrement utile pour atténuer les effets de malwares comme celui que nous avons examiné.

     

     

    Précisions sur le mécanisme des règles WAF

     

    Les Web Application Firewalls sont équipés de moteurs de règles d’une flexibilité impressionnante, offrant un large éventail de personnalisation. Leur sophistication permet l’utilisation de constructions telles que les expressions régulières, aussi connues sous le nom de regex, pour filtrer des modèles spécifiques au sein des requêtes HTTP. De plus, l’usage d’opérateurs logiques et de déclarations conditionnelles apporte une dimension supplémentaire en concevant des sets de règles multidimensionnels capables d’identifier et de répondre à une variété de menaces cybernétiques.

     

     

    Fonctionnalités avancées : Rate Limiting et géo-IP filtering

     

    Dans les Web Firewalls, deux mécanismes de filtrage spécifiques jouent un rôle crucial dans la régulation du trafic : le Rate Limiting et le géo-IP filtering. Le Rate Limiting s’appuie sur des algorithmes de gestion de quota, définissant un seuil de requêtes HTTP admissibles provenant d’une adresse IP unique durant un intervalle temporel donné. Ce processus fait usage d’algorithmes de “Token Bucket” ou de “Leaky Bucket” pour contrôler efficacement la cadence des requêtes et atténuer des attaques telles que les Distributed Denial of Service (DDoS) ou les tentatives de brute-force.

    Quant au géo-IP filtering, il implémente une série de règles basées sur des tables de correspondance géolocalisées. Ces tables sont souvent actualisées en temps réel et permettent de bloquer ou d’autoriser l’accès au serveur web en fonction de l’origine géographique des requêtes IP. Ainsi, des règles conditionnelles peuvent être appliquées, utilisant des opérateurs de comparaison et des déclarations logiques pour offrir un niveau de sécurité granulaire en fonction de la provenance géographique.

     

     

    Considérations de performance et de fiabilité

     

    Il faut être conscient que chaque WAF a ses propres caractéristiques en termes de latence et d’overhead computationnel. Certains peuvent avoir des taux de faux positifs plus élevés, ce qui pourrait conduire au blocage de trafic légitime. Par conséquent, un ajustement fin des règles et une surveillance continue sont nécessaires pour garantir une protection optimale.

     

     

    Nos avis Google

     

    chris canto
    chris canto
    02/02/2024
    Merci pour votre gentillesse et votre pédagogie, car je ne suis pas doué en référencement naturel. Vous avez su régler le problème de mon site internet rapidement. Je recommanderais vos services comme agence seo compétente.
    Aude Tribot
    Aude Tribot
    18/12/2023
    Je suis ravie : problème résolu en moins de 24h le WE ! Super service, très professionnel. Je recommande +++
    Mr SORIS
    Mr SORIS
    05/11/2023
    Jérémy est hyper rapide, il répond a la moindre question et vous explique tout de A a Z. Je ne peux que recommander ses services.
    Patrick Zakher
    Patrick Zakher
    19/10/2023
    J’ai eu une excellente expérience avec Leclerc-Web. J’étais confronté avec un problème de hack virus japonais sur le site web de mon magasin. Jérémy a été très disponible et a immédiatement compris et m’a très clairement expliqué la situation. Il a réussi en très peu de temps ensuite à nettoyer mon site de ce virus et, cerise sur le gâteau, il m’a conseillé et aidé gracieusement à faire héberger mon site, chez un autre hébergeur en installant et configurant une protection antivirus approprié. Franchement un service impeccable et des prix très raisonnables.
    Sylvain Paolini
    Sylvain Paolini
    17/08/2023
    Je recommande vivement leclerc-web. Un vrai professionnel d'une grande expertise, à l'écoute, très rapide (problème de hack sur un site réglé en 24h), et qui vous donne le détail des actions qu'il a mené. top!
    Annick Depret
    Annick Depret
    17/08/2023
    M. Leclerc a géré avec un grand professionnalisme le piratage de notre site et sa sécurisation ... la résolution a été très rapide avec un suivi sur le long terme au top ! N'hésitez pas à faire appel à lui, il connaît son domaine !!! Merci encore :-)
    Antoine GODDYN
    Antoine GODDYN
    13/08/2023
    Excellent travail de Jérémy. Très professionnel, très réactif et très compétent. Je recommande.
    Julien T
    Julien T
    04/07/2023
    Service au top. Mr Leclerc est un vrai professionnel. Vous pouvez lui faire confiance à 100% pour remettre votre site internet en marche (Victime d'une Cloaking Attack, j'ai perdu 2 semaines de ventes. Après l'intervention de Mr, les ventes ont repris directement. Merci encore !
    marine calderon
    marine calderon
    28/06/2023
    Rapide et très efficace ! Mes sites sont débarrassés des virus !! Merci Jérémy
    JohnWayne wayne
    JohnWayne wayne
    24/06/2023
    Super Job! Missionné pour un déclocking son intervention a été très efficace et ses conseils sont précieux, Je recommande !

     

     

    Questions courantes la réparation de malware WordPress

     

    Peut-on utiliser des scanners de malware pour détecter rostore salesonlinechap2023 ?

    Oui, il existe des scanners de malware spécialisés pour WordPress qui peuvent aider à détecter certaines menaces. Toutefois, ce malware cache des fichiers contenant du code Javascript non considéré comme malveillant. Ce code passera à travers de tous les scanners.

    Est-ce que la mise à jour de WordPress suffit pour éliminer le malware ?

    Pas nécessairement. Bien que la mise à jour de WordPress puisse corriger des vulnérabilités connues, elle ne supprime pas le malware si le site est déjà infecté. Une action manuelle est généralement requise. De plus, le malware est souvent injecté plusieurs semaines avant sa mise en route, de sorte que vous ne puissiez pas le retirer après une restauration de sauvegarde.

    Comment éviter les futures contaminations par malware ?

    Au-delà du déploiement d'un pare-feu applicatif Web (WAF), il est recommandé d'adopter des protocoles de sécurité éprouvés pour WordPress. Cela englobe la mise à jour fréquente du système, l'emploi de combinaisons de mots de passe robustes et un audit régulier des mesures de sécurité en place sur le site.

    Si je vous demande la suppression, garantissez vous un résultat ?

    Oui, lorsque nous intervenons, nous garantissons l'intervention. Pour commencer, le paiement se fait uniquement au résultat. La deuxième chose est que nous garantissons une ou plusieurs interventions gratuite en cas de réinfection post intervention, dans un délai de 6 mois.

    Est-ce que le virus revient après votre intervention de réparation de site piraté ?

    Notre taux de réinfection est de 0% à ce jour, et cela, sur plus de 350 interventions ! Nous donnons de nombreux conseils pour pérenniser la sécurité de votre site web.

    Je n'ai pas envi de donner mes accès du serveur et du site à un inconnu, comment faire ?

    C'est simple ! Il suffit de jetez un oeil aux avis clients. Nous cumulons à ce jour, un total de 170 évaluations 5 étoiles.
    Que ce soit sur la plateforme de développeur codeur.com ou sur Google, nous atteignons 5 étoiles sur 100% de nos avis !