Un rapport de la société de sécurité Sucuri a mis en lumière une variante de malware WordPress appelée SC. Il ne s'agit pas d'un cheval de Troie ordinaire : il est conçu pour résister aux méthodes de nettoyage classiques et réapparaître même après la suppression des éléments visibles de l'infection. La menace exploite des copies redondantes et les services publics Ethereum pour maintenir son canal de communication.
Ce cas concerne tout particulièrement les gestionnaires de sites WordPress, qu'il s'agisse de blogs personnels ou de boutiques en ligne. En Espagne et dans le reste de l'Europe, de nombreux projets reposent sur ce système de gestion de contenu ; une infection persistante peut donc affecter aussi bien l'administrateur que les visiteurs. Les détails publiés par Sucuri et relayés par les médias spécialisés révèlent un problème qui ne se résout pas par la simple suppression d'un fichier suspect.
Qu’est-ce que le logiciel malveillant SC et pourquoi est-il si difficile à supprimer ?
SC se comporte comme un système d'auto-réparation . Son code malveillant peut apparaître dans les plugins, les thèmes, la base de données, et même sur les serveurs compatibles WordPress. Sucuri affirme avoir détecté ce code malveillant simultanément dans au moins huit emplacements différents , ce qui réfute l'idée d'un point de défaillance unique pouvant être localisé et éliminé.
La conséquence pratique est préoccupante : si l’administrateur supprime une copie du logiciel malveillant et en laisse une autre suffisamment fonctionnelle, celui-ci peut se reconstituer et se redéployer. Ce mode de distribution explique pourquoi les méthodes traditionnelles, basées sur la recherche d’un fichier corrompu ou la coupure d’une connexion centrale, peuvent s’avérer insuffisantes.
De plus, SC ne se contente pas de se dissimuler. Parmi ses fonctionnalités, on trouve la possibilité de désactiver les outils de sécurité et de conserver un accès administrateur à WordPress. Cela complique la détection des modifications et peut prolonger le contrôle de l'attaquant, même après que l'équipe responsable pense avoir nettoyé le site.
Ethereum en tant qu'infrastructure de commande
L'aspect le plus frappant du rapport est l'utilisation des passerelles RPC publiques d'Ethereum pour la commande et le contrôle. SC inclut une liste d' une vingtaine de fournisseurs RPC — des services légitimes qui permettent aux applications, aux portefeuilles et autres logiciels d'interagir avec le réseau blockchain.
D'après la description, les attaquants n'ont pas pénétré Ethereum ni compromis son protocole. Ils exploitent plutôt une infrastructure publique pour fournir des instructions au logiciel malveillant. Si une passerelle tombe en panne ou ne répond plus, SC peut en essayer d'autres figurant sur sa liste.
Cette redondance atténue l'impact d'un blocage unique. La défense ne doit pas se limiter au blocage d'une adresse spécifique, car le programme emprunte plusieurs chemins alternatifs . La combinaison de copies internes et de connexions externes confère à cette variante une menace particulièrement persistante.
Vol de séances, injections et risque de paiement
Une autre fonctionnalité mise en avant est la collecte des jetons de session d'administrateur . Grâce à ces jetons, l'attaquant peut conserver ou obtenir un accès privilégié sans se limiter à la modification du contenu visible. Cela ouvre la voie à des modifications profondes et complique la reprise de contrôle d'un compte compromis.
SC peut également injecter du code JavaScript dans la partie publique d'un site. Dans une boutique en ligne, ce code pourrait s'exécuter lors du processus de paiement et servir à récupérer les données de carte bancaire ou de passerelle de paiement. Les informations disponibles ne précisent pas le nombre de sites ou de transactions concernés.
Avant d'agir, le logiciel malveillant collecte des informations techniques par empreinte numérique : URL et noms d'hôtes, version de WordPress, versions des extensions installées et autres données lui permettant de comprendre la configuration de la cible. Plus les attaquants en savent sur l'environnement, plus il leur est facile d'adapter leurs actions.
Quelles conséquences cela aura-t-il pour les sites web en Espagne et en Europe ?
Bien que le rapport ne fournisse pas de chiffres par pays, toute installation WordPress en Espagne ou en Europe peut être ciblée si elle utilise des extensions obsolètes ou si ses permissions sont insuffisantes. La nature transfrontalière de ces attaques signifie que la situation géographique seule ne constitue pas un obstacle.
Les administrateurs de sites web doivent examiner les sauvegardes , les journaux et les fichiers modifiés, mais doivent savoir qu'un nettoyage partiel peut s'avérer insuffisant. Il est également conseillé de vérifier les sessions actives, les comptes administrateurs et tout code inhabituel dans les modèles ou les extensions.
Dans le commerce électronique, le risque lié aux paiements accentue la pression. Si un logiciel malveillant parvient à accéder au système et à y injecter des scripts, la confiance des utilisateurs est compromise. Il ne s'agit pas seulement de restaurer le site web, mais aussi d'empêcher que les données clients ne tombent entre de mauvaises mains.
L'alerte de Sucuri est sans équivoque : SC ne se résout pas par un simple nettoyage. Sa capacité à se répliquer sur plusieurs composants , son utilisation des passerelles RPC Ethereum et ses aptitudes à voler des sessions ou à injecter du code en font une menace difficile à éradiquer. Pour les administrateurs, la priorité est d'examiner minutieusement l'ensemble de l'environnement WordPress, de maintenir les mises à jour à jour et de comprendre qu'une infection de ce type exige une réponse plus globale que la simple suppression d'un fichier.
