Pourquoi ai-je reçu cet email d’alerte ?
Vous avez reçu cet email car cpGuard, notre outil de sécurité intégré à votre hébergement web, a détecté un fichier malveillant (virus, backdoor, script piraté…) sur votre espace. Cela ne veut pas forcément dire que votre site entier est compromis, mais qu’un fichier suspect a été détecté et qu'il a été nettoyé / retiré par cpGuard pour votre sécurité.
Où puis-je voir la liste des fichiers détectés ?
- Connectez-vous à votre cPanel
- Cliquez sur l’icône "cpGuard" dans la section "Securité"
- Allez dans "Virus Scanner" puis "Scanner Logs" :
- Vous y verrez la liste des fichiers détectés, et vous pouvez avoir plus de détails en cliquant sur l'icône de fichier à droite de la ligne :
- Grâce au chemin complet (Original Path), vous pouvez savoir quel site est impacté si vous en êtes en multi-site.
Comment rechercher l'origine du fichier ?
- Connectez-vous à votre cPanel
- Allez dans "Métriques" puis "Accès brut" (Raw Access Logs)
- Téléchargez les fichiers correspondant à votre domaine et à la période couvrant la date de détection (en SSL et en non-SSL)
- Décompressez-le sur votre ordinateur
- Ouvrez le fichier .log avec un éditeur de texte et recherchez des lignes autour de la date de détection, contenant notamment
POST(souvent utilisées pour uploader ou injecter du code malveillant), par exemple
192.168.1.10 - - [12/Jun/2023:01:17:44 +0400] "POST /uploader.php HTTP/1.1" 200
- Vous pouvez aussi repérez des adresses IP qui effectuent beaucoup de requêtes en très peu de temps ou des adresses IP étrangères si votre site ne cible pas ces zones (https://www.geolocation.com/fr peut vous aider à localiser les IP)
Que faire pour éviter une nouvelle attaque ?
- Mettez à jour votre CMS, vos plugins et vos thèmes
- Changez vos mots de passe (cPanel, FTP et CMS)
- Limitez les tiers ayant accès votre site
- Si vous utilisez WordPress, pensez à souscrire à "WordPress Sérénité"
Que faire si vous êtes perdu ?
Si vous ne savez pas comment interpréter les fichiers infectés ou analyser les logs, pas de panique.
Voici la marche à suivre :
- Contactez d’abord votre développeur ou webmaster
- C’est lui qui connaît le mieux votre site et pourra rapidement vérifier vos plugins, thèmes ou scripts.
- Dans la majorité des cas, un nettoyage simple et une mise à jour suffisent pour sécuriser à nouveau le site.
- Si vous n’avez pas de développeur disponible
- L’équipe Hodi peut vous accompagner dans l’analyse et le nettoyage.
- Cette prestation sort du cadre du support standard et fera l’objet d’un devis spécifique, réalisé par nos experts en cybersécurité.
- Notre rôle sera de :
- analyser les fichiers infectés et les accès bruts,
- nettoyer les fichiers compromis,
- sécuriser la configuration de votre site,
- vous conseiller sur les bonnes pratiques pour éviter une nouvelle infection.
- N’hésitez pas à nous contacter pour demander cette intervention spécialisée.
