Bonjour à tous,
Depuis quelques jours mon site www.ecocampeurs.com est l'objet d'attaque quotidienne.
Les changements de mots de passe n'y font rien, un virus arrive toujours à pénétrer.
Quand quiconque veut se loguer sur le site il est redirigé vers une page qui propose un abonnement et des alertes de sécurité apparaissent laissant le site inaccessible.
Pouvez-vous m'aider svp ?
Merci d'avance,
Sandrine
Bonjour @SergeC9
Depuis quand as-tu ce Cheval de Troie ?
En gros, tu as un ou plusieurs fichiers modifiés, nouveaux infectés.
Deux solutions :
* Soit trouver les fichiers modifiés, nouveaux infectés de date récente, et remettre leur version origine
* Soit tout réinstaller à un état avant l'attaque.
Solution brutale :
Il faudrait que :
* Tu supprimes complètement tout le contenu de /www
* Tu restaures Hébergement et base de données à une date antérieure à cette infection.
Merci pour ton message 
Depuis lundi, c'est quasi tous les jours.
Le développeur a vu que quelqu'un "a réussi a trouver le couple utilisateur/mot de passe …et injecté du code php illisible au début de nombreux fichiers"
Il nettoie mais ça revient à chaque fois.
Mon site est jeune et on m'a offert une conférence sur un e-salon pour faire connaitre ma boite. La conférence est en ligne depuis hier et …plus d'accès au site !
Je suis désespérée 
Il nettoie mais ça revient à chaque fois.
Comment ?
En faisant un programme qui supprime les injections puis redémarrage du serveur.
Ça fonctionne très bien puisque l'accès au site est possible après cette manip mais le problème revient, … encore hier soir.
Je vais essayer de lui faire suivre et peut-être reprendre cette conversation car perso je n'y connais rien …
Je me demande quand même comment c'est possible d'avoir un virus vu qu'on a pris un serveur httpS …
Je me demande quand même comment c'est possible d'avoir un virus vu qu'on a pris un serveur http**S** ...
Bonjour,
hélas tu confonds tout.
https ne veut pas dire "garanti sans virus"
https ne veut pas dire "garanti résistant aux infections"
https sert juste à sécuriser la transmission des données entre le serveur web et l'internaute.
Dans le passé ça attestait aussi de l'identité du serveur web (est-ce l'authentique Paypal ?) mais avec Let's encrypt, même bobonne peut avoir son site web "authentique".
Pour moi, un site web infecté est à recommencer. Tu n'as jamais la garantie que le cheval de troie est éradiqué (c'est bien pour ça que ça s'appelle un cheval de Troie)
Sinon:
(prendre un backup quand même, cheval de Troie compris)
exporter la base de données
copier wp-content/uploads ailleurs
copier wp-config.php ailleurs
effacer tout
effacer toutes les tables de la base de données
inspecter le fichier export , c'est un boulot de spécialiste, des signes d'infection seraient la présence de eval , script, iframe, base64_decode, gzinflate ... qui sont autant de signaux d'alarme (mais c'est toujours le jeu du chat et de la souris...)
Inspecter la copie de /uploads/ et éliminer tous les fichiers php qui s'y trouveraient.
Utiliser la commande 'file' pour s'assurer qu'aucun autre fichier n'est en fait du code php.
etc etc.
`cd uploads; find . -exec file {} \;|grep PHP`
Recharger une copie vierge de Wordpress, et du thème utilisé.
Recharger wp-content/uploads , wp-config.php (après avoir vérifié qu'il ne contient pas de malware) , et importer la base de données.
Il faudra aussi certainement réinstaller quelques plugins depuis le site de leur éditeur.
Ce n'est pas 100% safe et aucune désinfection n'est 100% safe.
Bonjour et merci pour tes explications.
Je laisse la main à la personne compétente … moi je suis juste là pour glaner des tuyaux.
Toutes vos remarques me donnent l'impression que ça n'est pas encore gagné.
J'espère que je ne vais pas perdre de données !
Merci en tout cas les gars pour vos messages et votre réactivité, ça fait du bien d'être accompagnée.
Bonjour,
je suis le développeur du site ecocampeurs.com. J'ai bien nettoyé uploads, et fait passer un petit script php de ma composition pour supprimer diverses chaînes malicieuses de fichiers js et php, apparemment ça a l'air de bien tourner maintenant, plus de redirection depuis hier.
Il me reste à analyser la base de données pour voir s'il n'y a pas un petit quelque chose caché, mais tout a l'air ok.
Merci pour vos conseils ! et bonne continuation
Bonjour à tous,
Après des semaines de galère je peux enfin le dire : On s'en est sorti du virus.
Tout cela n'aurait pas été possible sans l'aide de Kyodev. 3 heures pour nous en débarrasser alors qu'on ramait depuis 1 mois ! Un ÉNORME MERCI à lui.
En plus d'être hyper compétent et efficace, il est très disponible (20/24, 7/7) et très sympa.
Vous ne le trouverez apparemment pas sur ce forum (quel dommage qu'il n'en fasse plus partie !)
mais sur DISCORD :
WebHelper : https://discord.gg/wQHNAbEmh5
Bonne journée à tous
Merci pour ce message