Il faut en être conscient et s’y préparer : lorsque l’on a un site ou un blog sur Internet, il peut rapidement devenir la cible de personnes mal intentionnées. Les dégâts occasionnées peuvent être divers, du parfois anodin à des choses beaucoup plus graves. ART-WP a été la cible d’un petit malin qui a cherché à se créer des backlinks facilement. Je vous raconte tout.

Souvent, lorsque ce genre d’accident se produit, les webmasters corrigent et restent discrets. Peur d’avouer qu’ils se sont fait piéger ? Il n’y a, à mon avis, pas de honte à cela. Au contraire, il faut en tirer des enseignements et prendre des mesures pour éviter que cela se reproduise. Alors, autant vous en faire profiter avant que cela ne vous arrive.

Détection de l’attaque

C’est évidemment la première des choses. Votre blog peut, en effet, avoir été attaqué et que vous ne vous en soyez pas rendu compte. Dans le cas de ART-WP, le premier indice a été donné par les Google Webmaster Tools (Outils pour les Webmasters). L’image ci-contre vous montre le graphique correspondant aux pages explorées par les robots Google par jour : l’augmentation soudaine du nombre de pages est plus que significative (les rapports fournis par les outils Google sont toujours décalés dans le temps – il y a toujours quelques jours de décalage). C’est une première alerte. En effet, il n’y a pas eu plusieurs centaines de nouvelles pages publiées ces derniers jours !

La seule explication plausible est évidemment l’ajout de nouvelles pages (à moins d’un dysfonctionnement des outils fournis par Google, ce qui est quand même peu probable).

Wait and see ?

Le quotidien étant très chargé en ce moment (ce qui explique – mais n’excuse pas ! – la diminution du rythme de publication depuis quelques jours), j’ai remis l’étude du phénomène à plus tard (ce matin). De toute façon, il n’y avait aucun dysfonctionnement apparent du blog.

Première conséquence

Hier soir, l’utilisation quotidienne de SEO Soft m’indique une chute « vertigineuse » du positionnement des principaux mots clés sur lesquels je travaille (entre 100 et 200 places sur chacun d’eux). A partir de là, les questions se bousculent : « qu’est-ce que j’ai fait pour me faire pénaliser ainsi ? », « sur quel site ai-je déposé un commentaire récemment ? », « qu’est-ce que j’ai modifié sur le blog ? », … Questions évidemment sans réponses.

Deuxième conséquence

C’est la suite logique : la part de visites provenant des moteurs de recherche (Google en particulier) connait une baisse (chute) dont l’allure correspond à la courbe du positionnement !

Deuxième indice

La nuit ayant porté conseil … l’utilisation de SEO Quake indique une augmentation plus que significative des pages indexées par Google. Normal, cela avait déjà été constaté avec les Webmasters tools. Seulement, là, en faisant défiler les pages, des titres et URL qui ne correspondent à rien de connu apparaissent : travail-avec-internet.fr/wp-admin/images/xxx, où xxx correspond à des noms « bizarre » (une recherche sur Google retourne 1370 résultats, ce qui correspond au premier graphique). La visite de la première page trouvée ne correspond en rien au blog, la deuxième non plus, ni la troisième, ni les suivantes … C’est certain, YA 1 TRUC !!!

Trouver l’origine du phénomène

C’est en fait assez simple, la réponse est dans la question : http://travail-avec-internet.fr/wp-admin/images indique clairement que quelque chose se passe du côté du répertoire correspondat. En effet :

  1. dans ce répertoire, deux fichiers ont été crés le 23 janvier à 10h50. Un fichier .htaccess qui contient une réécriture d’url vers un script nommé alemoa.php (le deuxième fichier crée dans ce répertoire), lui-même contenant du code en base64,
  2. un sous dossier nommé .log, contenant un sous-dossier ‘travail-avec-internet.fr’. Ce dernier contenant les fameuses pages html qui sont venues augmenter le nombre de pages du site.

Rien, semble-t-il de bien méchant, si ce n’est un impact négatif sur le référencement et un espace disque conséquent occupé par ces fameuses pages.

Réparation

Il suffit de faire le ménage … supprimer l’ensemble des fichiers qui ont été ajoutés.

Mesures à prendre et conséquences

La première mesure à prendre (en urgence) est évidemment de modifier les identifiants de connexion FTP.

La seconde est une vérification poussée de tous les répertoires de l’hébergement, au moins en recherchant les fichiers modifiés à partir de la même date (23/01 pour ART-WP).

La troisième touche le ou les ordinateurs à partir desquels vous travaillez sur votre site. En effet, à un moment ou à un autre, le « pirate » a réussi à obtenir vos identifiants FTP (par prudence, il serait judicieux de modifier tous les identifiants des comptes ou services qui présentent une quelconque importance pour vous) et si votre ordinateur est infecté, il n’y a pas de raison pour qu’il ne réitère pas son « exploit ».

Concernant les conséquences, elles sont évidentes :

  • chute du positionnement,
  • perte de temps,
  • doutes sur la sécurité,
  • et peut-être des effets de bord non encore constatés.

Votre avis ?