Les cambrioleurs les plus doués finissent parfois par oublier de fermer leur propre porte. C’est à peu près ce qui vient d’arriver aux opérateurs de WP-SHELLSTORM, une opération de piratage massif visant WordPress. Un de leurs serveurs, laissé ouvert sans authentification, a livré aux chercheurs l’intégralité de leur arsenal : outils, journaux d’activité et listes de cibles.
Points clés
- Un serveur WP-SHELLSTORM non protégé a exposé outils, logs et listes de cibles
- La liste visait environ 1,4 million de sites WordPress
- Les chercheurs ont confirmé 25 195 sites réellement compromis
Un serveur ouvert comme un livre
Le serveur exposé contenait tout ce qu’il faut pour dérouler une campagne de compromission industrielle. Scripts d’attaque, logs détaillés et fichiers de cibles nommant environ 1,4 million de sites WordPress dans le viseur. De quoi reconstituer la mécanique complète de l’opération sans même avoir à forcer quoi que ce soit.
Parmi ces cibles théoriques, les chercheurs ont pu confirmer 25 195 compromissions bien réelles. Un écart classique entre le carnet d’adresses ambitieux d’un attaquant et le nombre de portes qu’il a effectivement enfoncées, mais 25 000 sites piratés restent 25 000 sites piratés.
Backdoors et sites WordPress, l’éternel couple
WP-SHELLSTORM opère par backdooring : une fois un site compromis, un accès dissimulé est installé pour revenir à volonté, sans repasser par la case exploitation. C’est la méthode préférée des campagnes qui misent sur le volume, WordPress restant une cible de choix vu sa domination sur le web et le zoo de plugins mal maintenus qui l’accompagne.
La leçon d’hygiène numérique reste la même que d’habitude, aussi ennuyeuse qu’efficace : mises à jour à jour, plugins triés sur le volet, authentification renforcée et surveillance des fichiers modifiés. Les opérateurs de WP-SHELLSTORM viennent au moins de rappeler qu’une bonne configuration vaut aussi pour ceux qui attaquent.
