WordPress phishing page removal.

§ 01 — MÉCANISME

Votre domaine semble légitime. C’est pour ça qu’ils vous ont choisi.

Un WordPress compromis avec un vrai certificat SSL et un domaine ancien est la plate-forme idéale pour une page de phishing. L’attaquant dépose un kit de faux login — souvent dans wp-content/uploads/ — et envoie les liens à des milliers de victimes. Vos visiteurs ne voient l’URL inhabituelle qu’après avoir tapé leur mot de passe.

Retirer le kit, c’est la partie facile. La partie difficile, c’est de trouver la backdoor qui l’a déposé, parce que la même en déposera un autre dans deux jours. On fait les deux.

01 find wp-content/uploads/ \\
02     -type f \( -name '*.html' -o -name '*.php' \) \\
03     -mtime -30
04
05 // HTML or PHP files in /uploads/ created in the last
06 // 30 days are almost always either kits or backdoors.

§ 02 — CE QUE NOUS SUPPRIMONS

Kit de phishing retiré. Backdoor refermée.

• [ TRIAGE DES PLUGINS ]

  Système de fichiers scanné à la recherche de fichiers qui n’ont rien à y faire : HTML et PHP dans uploads, fichiers imitant des pages de connexion connues, sous-dossiers inconnus.

• [ KIT DE PHISHING ]

  Chaque fichier du kit supprimé. Ressources statiques, faux formulaires, endpoints d’exfiltration — partis.

• [ BACKDOORS ]

  La backdoor PHP qui a déposé le kit est trouvée et supprimée, pour que la prochaine fournée ne puisse pas être déposée.

• [ DURCISSEMENT ]

  Exécution PHP désactivée dans uploads. Contrôles d’upload audités. Permissions resserrées.

• [ RAPPORT ]

  Signalements envoyés à l’hébergeur de l’endpoint d’exfiltration et aux registrars des marques imitées.

• [ RAPPORT ]

  Rapport médico-légal en langage clair, liste des marques visées, ce que le kit collectait, ce que nous avons fait pour y remédier.

§ TARIFS

Forfait $279. Une seule fois. Par site.