Des chercheurs en cybersécurité ont découvert qu’une attaque visant l’infrastructure d’Awesome Motive pourrait avoir exposé de nombreux sites WordPress utilisant certaines de ses extensions populaires, dont OptinMonster, TrustPulse et PushEngage.
Cette technique, appelée attaque de la chaîne d’approvisionnement, permet aux pirates d’infecter plusieurs sites simultanément en compromettant un fournisseur de confiance plutôt qu’en attaquant chaque site individuellement.
Selon les analyses publiées par Sansec et relayées par plusieurs médias spécialisés, le code malveillant permettait notamment:
- La création de comptes administrateurs cachés;
- L’installation de portes dérobées (backdoors);
- La prise de contrôle à distance de sites WordPress;
- L’exécution de commandes malveillantes à l’insu des propriétaires.
Plusieurs rapports de sécurité indiquent également que l’infrastructure compromise pourrait avoir affecté d’autres produits utilisant les mêmes ressources externes ou bibliothèques partagées. Par mesure de prudence, les administrateurs de sites utilisant des solutions de l’écosystème Awesome Motive devraient vérifier l’ensemble de leurs extensions et surveiller les communications officielles des éditeurs concernés.
Parmi les produits d’Awesome Motive qui méritent une vérification préventive, on retrouve notamment:
- WPForms
- MonsterInsights
- WP Mail SMTP
- SeedProd
- AIOSEO
- UserFeedback
- Pretty Links
- RafflePress
- SearchWP
- AffiliateWP
Important: à l’heure actuelle, ces derniers produits n’ont pas tous été confirmés comme compromis. Ils sont simplement associés au même écosystème logiciel et méritent une vérification de sécurité supplémentaire jusqu’à ce que les enquêtes soient terminées. Les administrateurs devraient suivre les avis officiels publiés par les éditeurs et les chercheurs en sécurité.
Références : https://securityaffairs.com/193616/malware/supply-chain-attack-hits-popular-wordpress-plugins-through-awesome-motive-cdn.html et https://thehackernews.com/2026/06/popular-wordpress-plugin-scripts.html
Pourquoi ce type d’attaque est-il dangereux?
Les cybercriminels utilisent fréquemment les serveurs compromis pour envoyer du spam, héberger des logiciels malveillants, effectuer du minage de cryptomonnaies ou participer à des attaques distribuées de type DDoS (Distributed Denial of Service).
Dans un environnement d’hébergement partagé, un seul site infecté peut rapidement consommer une quantité excessive de ressources processeur, mémoire ou bande passante. Le résultat est souvent visible rapidement:
- Sites web extrêmement lents;
- Erreurs 500 ou 503;
- Blocages temporaires du serveur;
- Suspension du compte d’hébergement par le fournisseur;
- Dégradation des performances de tous les autres sites hébergés sur le même serveur.
Les attaques DDoS sont particulièrement problématiques. Elles consistent à utiliser des milliers de systèmes compromis pour générer un volume massif de trafic vers une cible. Un site WordPress infecté peut ainsi devenir, sans que son propriétaire le sache, un participant à une attaque visant une autre entreprise ou organisation.
Que faire si votre site WordPress est compromis?
Si vous soupçonnez qu’un script malveillant ou un pirate a compromis votre site, il est important d’agir rapidement.
1. Contacter votre hébergeur et contactez-nous: support@zaa.cc
2. Restaurer une sauvegarde saine
Votre hébergeur peut restaurer votre site à une date antérieure. Comme il est difficile de déterminer la porte d’entrée d’un malware ou d’un script, si l’infection est importante, la méthode la plus rapide et sécuritaire consiste souvent à restaurer une sauvegarde datant d’avant la compromission.
3. Changer tous les mots de passe
Avec notre aide, modifiez immédiatement:
- Les comptes WordPress;
- Le compte FTP/SFTP;
- L’hébergement;
- Le cPanel de votre site;
- La base de données;
- Les comptes courriel associés;
- Les clés API utilisées par le site.
RAPELLE POUR LES MOTS DE PASSE
Choisissez un mot de passe unique, de 16 à 24 caractères alpha-décimales aléatoires, avec caractères spéciaux pour chaque site, ordinateur, compte, etc. C’est ici que le gestionnaire de mot de passe va vous faciliter la vie! Utilisez un gestionnaire de mot de passe, tel que LastPass, 1Password, BitWarden ou Google Mot de passe pour vos identifiants personnels et ceux de votre organisation. Pour partager vos mots de passe, certains gestionnaires vous permette de partager les mots de passe. Vous pouvez aussi utiliser un service comme Password Pusher. Dans tous les cas ne mettez jamais les mots de passe de vos entreprises dans les Drives (Google, iCloud, DropBox, SharePoint, etc.).
4. Supprimer les portes dérobées
Demander à votre hébergeur de scanner votre site. Même après avoir supprimé le logiciel malveillant visible, les pirates laissent souvent des accès cachés permettant de revenir plus tard. Une inspection complète des fichiers par votre hébergeur est généralement nécessaire pour s’assurer qu’aucune porte dérobée ne subsiste.
5. Mettre à jour WordPress, les thèmes et les plugins
Installez les versions les plus récentes de tous les composants du site et supprimez les extensions inutilisées.
6. Renforcer la sécurité
Parmi les bonnes pratiques recommandées:
- Activer l’authentification multifactorielle (MFA);
- Limiter les accès administrateurs;
- Désactiver les comptes inutilisés;
- Installer un pare-feu applicatif (WAF);
- Effectuer des sauvegardes automatisées;
- Réaliser des audits de sécurité périodiques.
Conclusion
L’attaque récente visant OptinMonster, TrustPulse et PushEngage démontre une fois de plus que même les solutions les plus populaires peuvent devenir un vecteur d’infection lorsqu’elles sont ciblées par une attaque de la chaîne d’approvisionnement.
Pour les entreprises, la meilleure défense demeure une combinaison de mises à jour rigoureuses, de sauvegardes fréquentes, d’une surveillance active et d’un plan de réponse aux incidents. Plus une compromission est détectée rapidement, moins les impacts financiers, opérationnels et réputationnels seront importants.
FAQ — Attaque WordPress et sécurité de votre site
Comment savoir si mon site WordPress a été piraté?
Plusieurs signes peuvent indiquer une compromission:
- Votre site est soudainement plus lent qu’à l’habitude;
- Des pages ou des liens inconnus apparaissent;
- Des utilisateurs administrateurs que vous n’avez pas créés sont présents;
- Votre hébergeur vous signale une activité anormale;
- Votre site redirige vers un autre site;
- Google ou votre antivirus affiche un avertissement de sécurité;
- Des courriels de spam semblent être envoyés depuis votre domaine.
Si vous observez l’un de ces symptômes, une vérification de sécurité est nécessaire.
Est-ce que mon site est à risque même si je n’utilise pas OptinMonster, TrustPulse ou PushEngage?
Cette attaque vise principalement les sites utilisant les extensions concernées. Toutefois, les cybercriminels ciblent régulièrement WordPress de différentes façons. Même si vous n’utilisez pas ces plugins, il est important de maintenir WordPress, vos thèmes et vos extensions à jour.
Mon site semble fonctionner normalement. Puis-je quand même être infecté?
Oui. Certains logiciels malveillants sont conçus pour demeurer invisibles pendant des semaines ou des mois. Un site compromis peut sembler fonctionner normalement tout en servant à envoyer du spam, héberger du code malveillant ou participer à des attaques DDoS.
Qu’est-ce qu’une attaque DDoS?
Une attaque DDoS (Distributed Denial of Service) consiste à submerger un serveur ou un site Web avec un volume massif de trafic afin de le rendre inaccessible.
Les pirates utilisent souvent des milliers d’appareils ou de sites compromis pour générer ce trafic. Un site infecté peut ainsi être utilisé à l’insu de son propriétaire dans une attaque visant une autre organisation.
Un site compromis peut-il affecter les autres sites du même serveur?
Oui. Dans un environnement d’hébergement partagé, un site infecté peut consommer une grande quantité de ressources serveur, ce qui peut ralentir ou rendre instables les autres sites hébergés sur la même infrastructure.
Dois-je changer mes mots de passe si mon site est compromis?
Absolument. Vous devriez changer immédiatement:
- Les mots de passe WordPress;
- Les accès FTP ou SFTP;
- Les accès au panneau d’hébergement;
- Les mots de passe de la base de données;
- Les comptes courriel associés au site.
Puis-je simplement supprimer le plugin compromis?
Pas nécessairement. Si un pirate a déjà exploité la faille, il a pu installer des portes dérobées ou créer des comptes administrateurs cachés. Une analyse complète du site demeure recommandée même après la suppression du plugin.
Est-ce que restaurer une sauvegarde règle toujours le problème?
Souvent, mais pas toujours. Si la sauvegarde a été effectuée après la compromission, elle peut déjà contenir le code malveillant. Il est important de restaurer une sauvegarde saine et de vérifier que la faille initiale a été corrigée.
Combien coûte généralement le nettoyage d’un site WordPress piraté?
Le coût varie selon la gravité de l’infection, le nombre de sites touchés et le temps nécessaire à l’analyse. Une intervention rapide est généralement beaucoup moins coûteuse qu’une compromission qui demeure active pendant plusieurs semaines.
Comment prévenir ce type d’attaque?
Les meilleures pratiques incluent:
- Maintenir WordPress à jour;
- Mettre à jour les thèmes et les plugins régulièrement;
- Utiliser l’authentification multifactorielle (MFA);
- Effectuer des sauvegardes automatiques;
- Limiter les comptes administrateurs;
- Installer un pare-feu applicatif (WAF);
- Réaliser des audits de sécurité périodiques.
Que faire si je pense que mon site a été compromis?
Ne paniquez pas et n’effectuez pas de suppression de fichiers au hasard. Sauvegardez d’abord le site, puis faites analyser les fichiers, la base de données et les journaux du serveur afin d’identifier précisément la source du problème et les actions correctives à entreprendre.