• Les notifications push sont désormais utilisées comme systèmes de diffusion de logiciels malveillants, et les utilisateurs s'y abonnent sans le savoir.
• Les faux messages CAPTCHA sont désormais la porte d'entrée vers des détournements de navigateur persistants et des attaques de phishing.
• Les sites WordPress détournent discrètement les utilisateurs via des commandes DNS invisibles et des charges utiles JavaScript partagées.

Des enquêtes récentes ont révélé l'existence d'une alliance inquiétante entre des pirates informatiques spécialisés dans WordPress et des entreprises commerciales spécialisées dans les technologies publicitaires, qui ont mis en place une vaste infrastructure permettant de diffuser des logiciels malveillants à l'échelle mondiale.

Les recherches menées par Infoblox Threat Intel ont révélé que VexTrio, un système de distribution de trafic (TDS) chargé de rediriger les internautes à travers plusieurs couches de fausses publicités, de redirections trompeuses et de notifications push frauduleuses, est au cœur de cette opération.

Le rapport affirme que plusieurs entreprises commerciales, dont Los Pollos, Partners House et RichAds, sont impliquées dans ce réseau, servant à la fois d'intermédiaires et de facilitateurs.

Les vulnérabilités de WordPress ont servi de point d'entrée

Infoblox a initialement lié Los Pollos à VexTrio lorsque le premier a été impliqué dans des campagnes de désinformation russes.

En réponse, Los Pollos a déclaré qu'il mettrait fin à son modèle de « monétisation des liens push ».

Malgré cela, l'activité malveillante sous-jacente s'est poursuivie, les attaquants passant à un nouveau TDS connu sous le nom de Help, qui a finalement été relié à VexTrio.

Les vulnérabilités de WordPress ont servi de point d'entrée à de multiples campagnes de logiciels malveillants, les pirates ayant compromis des milliers de sites web en y intégrant des scripts de redirection malveillants. Ces scripts s'appuyaient sur des enregistrements DNS TXT comme mécanisme de commande et de contrôle, déterminant où envoyer les visiteurs du site web.

L'analyse de plus de 4,5 millions de réponses DNS entre août et décembre 2024 a révélé que même si différentes souches de logiciels malveillants semblaient distinctes, elles partageaient une infrastructure, un hébergement et des modèles de comportement qui conduisaient tous à VexTrio ou à ses proxys, notamment Help TDS et Disposable TDS.

Le JavaScript utilisé sur ces plateformes présentait les mêmes fonctions, désactivant les contrôles de navigation du navigateur, forçant les redirections et attirant les utilisateurs avec de fausses loteries.

Il est intéressant de noter que ces TDS sont intégrés à des plateformes publicitaires commerciales qui se présentent comme des réseaux d'affiliation légitimes.

« Ces entreprises entretenaient des relations exclusives avec des « éditeurs affiliés », en l'occurrence les pirates informatiques, et connaissaient leur identité », ont noté les chercheurs.

Les notifications push sont apparues comme un vecteur de menace particulièrement puissant. Les utilisateurs sont amenés à activer les notifications de leur navigateur à l'aide de faux messages CAPTCHA.

Les pirates envoient ensuite des liens de phishing ou de logiciels malveillants après l'inscription de l'utilisateur, contournant les paramètres du pare-feu et même les meilleurs programmes antivirus.

Certaines campagnes acheminent ces messages via des services fiables tels que Google Firebase, ce qui rend leur détection beaucoup plus difficile.

Le chevauchement entre les plateformes adtech, notamment BroPush, RichAds et Partners House, complique encore davantage l'attribution.

Des systèmes DNS mal configurés et des scripts réutilisés suggèrent l'existence d'un backend commun, voire d'un environnement de développement partagé.

Pour faire face à ce risque, les utilisateurs doivent éviter d'activer les alertes suspectes de leur navigateur, utiliser des outils offrant un accès réseau zéro confiance (ZTNA) et être prudents lorsqu'ils utilisent des invites CAPTCHA.

En mettant à jour WordPress et en surveillant les anomalies DNS, les administrateurs de sites peuvent réduire le risque de compromission.

Les entreprises adtech pourraient toutefois disposer du levier et de la clé nécessaires pour mettre fin à ces opérations si elles décidaient d'agir.

Vous pourriez également aimer

• Meilleurs antivirus en ligne : quel service de sécurité basé sur le cloud est le plus fiable ?
• Sécurité numérique : les fuites de données chez les tiers en hausse inquiétante
• Les meilleurs outils anti-malware : un véritable arsenal pour tous les budgets

WordPress est une plateforme fantastique pour créer votre propre blog, votre portfolio ou votre plateforme e-commerce. Elle regorge d'outils pour vous aider à créer un site web avec un aspect professionnel et pour surveiller ses performances. De plus, vous pouvez l'améliorer encore en installant des plugins WordPress fonctionnels.

Certains de ces plugins WordPress sont gratuits, tandis que d'autres constituent des produits hauts de gamme avec un prix conséquent. Vous pouvez trouver des plugins gratuits en utilisant le répertoire, accessible depuis votre tableau de bord WordPress. Les plugins payants peuvent être téléchargés via l'option « Ajouter un nouveau plugin » du menu dédié.

Attention : les plugins tiers sont disponibles uniquement si vous hébergez vous-même votre site par le biais du logiciel de WordPress.org. Si votre site est directement hébergé sur WordPress.com, vous n'aurez pas accès au menu plugins.

Les produits en bref

Découvrez notre top 10 des meilleurs plugins WordPress. Pour en lire davantage sur chacun de ces logiciels, cliquez sur En savoir plus.

Quel est le meilleur plugin WordPress ?

Le meilleur plugin WordPress

Yoast SEO est un plugin WordPress qui offre une analyse des pages en temps réel pour vous aider à optimiser le contenu, les images, les titres, les méta-descriptions et les mots-clés de vos pages.

Vous pouvez également utiliser le plugin pour indiquer à Google de ne pas indexer une page, ou un ensemble de pages. Et il analyse même la lisibilité de votre texte, en vérifiant notamment la longueur de vos phrases et paragraphes, les mots de transition ou des sous-titres, si vous utilisez trop souvent la voix passive, etc.

Vous pouvez aussi exploiter Yoast SEO pour générer automatiquement des URL (afin de ne pas être pénalisé par Google en cas de contenu dupliqué), créer des sitemaps XML lisibles et obtenir un contrôle plus fin des fils d'Ariane.

La version premium de Yoast SEO offre des fonctionnalités plus avancées, mais même le plugin gratuit peut vous aider à faire une réelle différence dans le classement de votre site. Yoast SEO est constamment mis à jour avec de nouvelles versions que vous pouvez consulter ici.

Télécharger le plugin : Yoast SEO

• Aller en haut de l'article

Le meilleur plugin WordPress pour un affichage rapide

WP Rocket propose des abonnements annuels à partir de 44€, incluant la prise en charge d'un seul site. Cela peut sembler beaucoup - surtout quand il y a d'autres plugins de mise en cache disponibles gratuitement - mais il s'agit d'un produit haut de gamme.

Il est très facile à mettre en place, et peut être installé et configuré en quelques minutes seulement. Après ce processus, la mise en cache des pages est activée immédiatement et vous devriez obtenir une augmentation immédiate de la vitesse d'affichage de votre site en conséquence. De plus, comme le crawler de ce plugin WordPress simule une visite pour précharger le cache, l'indexation de votre site par les moteurs de recherche est instantanément améliorée.

WP Rocket, qui a été utilisé sur plus de 1 280 000 sites Web WordPress, s'assure également que les images de votre site ne sont chargées que lorsque votre visiteur fait défiler la page vers le bas, et réduit le poids de vos fichiers HTML, JavaScript et CSS grâce à la minification, ce qui devrait encore améliorer vos temps de chargement. Comme il s'agit d'un produit premium, vous bénéficierez de mises à jour régulières et d'un excellent support client.

Télécharger le plugin : WP Rocket

• Aller en haut de l'article

Le meilleur plugin WordPress avec formulaire de contact

Actuellement utilisé par plus d'un million de sites, Gravity Forms est un plugin WordPress qui vous permet de créer rapidement et facilement des formulaires de contact complexes, sans aucune connaissance technique requise.

L'éditeur est facile à utiliser et vous invite à sélectionner les champs que vous souhaitez inclure, configurer vos options, puis intégrer les formulaires sur votre site WordPress. Si vous le souhaitez, vous pouvez également diviser votre formulaire en plusieurs pages et afficher une barre de progression qui permet aux utilisateurs de savoir où ils en sont dans le processus. Il existe également une intégration complémentaire de HubSpot.

Vous pouvez également programmer l'apparition et la disparition des formulaires à certaines heures, créer des formulaires de commande avec des champs de tarification, et même créer un formulaire qui crée des articles WordPress générés par les utilisateurs sur votre site.

Télécharger le plugin : Gravity Forms

• Aller en haut de l'article

Le meilleur plugin WordPress pour savoir qui regarde votre site

Ce puissant plugin WordPress gratuit vous permet de suivre les visiteurs de votre site à l'aide du code de suivi de Google Analytics, et de visualiser les statistiques clés dans votre installation WordPress.

Vous pouvez utiliser Google Analytics Dashboard for WP pour générer un ensemble de rapports de performance sur les performances du site dans son ensemble, ainsi que sur celles des pages et des articles individuels, et les informations que vous récupérez sont entièrement personnalisables.

Ce plugin WordPress est entièrement compatible avec les installations du réseau multi-site, s'intègre à Google AdWords pour que vous puissiez suivre la conversion de vos annonces et prend en charge AdSense, ce qui vous permet de savoir quels articles ou pages génèrent le plus de revenus. Notez que vous devez ouvrir un compte (gratuit) Google Analytics avant de pouvoir utiliser ce plugin.

Télécharger le plugin : Google Analytics Dashboard for WP

• Aller en haut de l'article

Le meilleur plugin WordPress gratuit

Le plugin WordPress WooCommerce alimente actuellement plus de 30% des boutiques en ligne. Lancé pour la première fois en 2011, il a été acquis par Automattic (la société derrière WordPress.com) en 2015, de sorte que son développement futur est clairement entre de bonnes mains.

La version standard et gratuite de WooCommerce peut calculer les coûts d'expédition et les taxes et offre la possibilité d'accepter les principales cartes de crédit, PayPal, les virements bancaires et le paiement en espèces à la livraison. Il existe également des outils de gestion des stocks très performants pour vous aider à suivre votre inventaire.

La version premium de WooCommerce est dotée d'outils plus avancés, tels qu'une caisse à page unique et un module complémentaire pour les e-mails d'abandon de panier. Il existe également des centaines de modules complémentaires et de thèmes pour étendre les fonctionnalités de WooCommerce.

Télécharger le plugin : WooCommerce

• Aller en haut de l'article

Le meilleur plugin WordPress pour choisir votre police

Si vous voulez que votre site WordPress soit magnifique, vous devez aller au-delà des polices de caractère standard et commencer à étudier un éventail plus large de typographies.

Adobe Fonts (anciennement TypeKit ) est un service d'Adobe qui vous donne accès à des polices personnalisées de haute qualité.

Les polices sont appliquées à votre site web à l'aide de la norme font-face, ce qui vous garantit qu'elles sont conformes aux normes web, entièrement sous licence et accessibles. Des milliers de polices sont disponibles mais vous aurez besoin d'un compte/abonnement Creative Cloud pour commencer.

Télécharger le plugin : Adobe Fonts

• Aller en haut de l'article

Le meilleur plugin WordPress pour un outil de recherche amélioré

Si vous trouvez que la fonctionnalité de recherche fournie par WordPress n'est pas optimale, et que vous souhaitez offrir à vos visiteurs une expérience de recherche améliorée, il existe un excellent plugin WordPress gratuit qui peut vous aider.

SearchWP offre une liste de fonctionnalités de recherche avancées, y compris l'indexation des titres des articles, des descriptions et des mots-clés, ainsi que le contenu des documents PDF, Office et texte. Vous pouvez également créer plusieurs moteurs de recherche, chacun avec ses propres paramètres. Vous pouvez donc, par exemple, créer une boîte de recherche uniquement pour les recherches de produits.

SearchWP vous permet de donner de meilleurs résultats aux utilisateurs en utilisant des mots clés au lieu des termes exacts. Ainsi, par exemple, le terme de recherche "gaming" renverra des mots connexes tels que "gamer". Vous pouvez même personnaliser le classement des résultats à l'aide du système de pondération de SearchWP.

Téléchargez le plugin : SearchWP

• Aller en haut de l'article

Le meilleur plugin WordPress pour créer des tableaux

Si vous avez besoin de présenter beaucoup de données sous forme de tableau, cela peut être assez pénible de tout coder à la main. TablePress est un plugin Wordpress qui permet de créer et de gérer facilement des tableaux sur votre site sans aucune connaissance du langage HTML. Et la cerise sur le gâteau, c'est qu'il est totalement gratuit.

Avec TablePress, vos tableaux peuvent contenir n'importe quel type de données, même des formules, et une bibliothèque JavaScript supplémentaire peut être utilisée pour ajouter des fonctionnalités telles que le tri, la pagination et le filtrage pour aider vos visiteurs à donner un sens à toutes ces informations.

Vous pouvez inclure des tableaux dans des articles, des pages et des widgets de texte, et les tableaux peuvent être importés depuis des fichiers Excel (XLS et XLSX), CSV et HTML, ainsi qu'exportés.

Télécharger le plugin : TablePress

• Aller en haut de l'article

Le meilleur plugin WordPress pour sécurisé votre site

 Dans la jungle Internet, rien n'est éternel et on ne sait jamais quand une catastrophe peut survenir. Il s'avère donc important de faire des sauvegardes régulières de tout ce que vous mettez en ligne.

BackUpWordPress vous permet de sauvegarder l'intégralité de votre site WordPress, y compris votre base de données et tous vos fichiers, selon le calendrier et les délais qui vous conviennent.

Ce plugin WordPress, qui compte plus de 200 000 utilisateurs actifs et qui fonctionne dans des environnements d'hôte partagé à faible mémoire, vous permet de gérer plusieurs calendriers et vous offre la possibilité de recevoir chaque fichier de sauvegarde par e-mail.

Vous pouvez envoyer vos sauvegardes vers une grande variété de destinations, notamment des serveurs FTP distants, Google Drive, DropBox, Amazon S3, Dreamhost DreamObjects, Rackspace Cloud et Microsoft Azure. Le téléchargement est gratuit sur le site Web de WordPress, mais en raison du changement de propriétaire, les sauvegardes vers Dropbox, Google Drive et autres ne seront plus prises en charge. Vous pouvez également consulter UpdraftPlus Wordpress Backup.

Télécharger le plugin : BackUpWordPress

• Aller en haut de l'article

Le meilleur plugin WordPress pour gérer les commentaires

Si vous autorisez les commentaires sur votre site WordPress, vous savez le mal de tête que le spam de commentaires peut causer. Si vous pouvez activer la modération des commentaires pour y faire face, la gestion devient très compliquée lorsque le volume est élevé. 

Créé par Automattic, la société à l'origine de WordPress.com, Akismet est un plugin WordPress qui vérifie et filtre automatiquement tous les commentaires. Il fonctionne en arrière-plan et il n'y a aucun paramètre à configurer, il est donc extrêmement facile à prendre en main et à utiliser. Bien sûr, Akismet s'améliorera avec le temps, en lui montrant les commentaires qu'il a manqués et ceux qu'il a mal détecté.

Le téléchargement d'Akismet est gratuit, mais vous aurez besoin d'une clé API Akismet.com pour l'utiliser. Les clés sont gratuites pour les blogs personnels, et des abonnements payants sont disponibles pour les entreprises et les sites commerciaux.

Télécharger le plugin : Akismet

• Aller en haut de l'article

• Pour aller plus loin :
• Meilleurs VPN
• Meilleurs hébergeurs web
• Meilleurs fournisseurs de messagerie professionnelle

Des milliers de sites Web WordPress utiliseraient une extension qui présente une vulnérabilité. Elle permet aux pirates de prendre entièrement le contrôle du site. 

Les chercheurs ont découvert une faille critique dans YITH WooCommerce Gift Cards Premium, un module complémentaire pour le constructeur de sites web. Il fournit une interface pour créer des cartes cadeaux sur les sites WordPress et serait utilisé par plus de 50 000 sites web.

La faille elle-même est une vulnérabilité de téléversement de fichiers arbitraires non authentifiés, permettant aux escrocs, entre autres, d'installer un shell et ainsi d'obtenir un accès complet au site web cible.

Mise à jour fortement recommandée

La vulnérabilité, répertoriée sous le nom de CVE-2022-45359 et dotée d'un score de gravité de 9,8 - critique, a depuis été corrigée et les utilisateurs sont invités à mettre à jour leur module complémentaire dès que possible, car il existe des preuves que la faille est exploitée.

Elle a été découverte pour la première fois fin novembre 2022, lorsque des chercheurs ont constaté que la faille était présente dans toutes les versions jusqu'à la 3.19.0. Il est donc conseillé aux utilisateurs de porter leur module complémentaire au moins à la version 3.20.0 ou 3.21.0, qui est désormais disponible au téléchargement. 

La faille a été découverte par Wordfence, une société de cybersécurité qui analyse l'écosystème Wordpress, et ses chercheurs affirment que des cybercriminels exploitent déjà la faille.

Si la plupart des attaques ont eu lieu en novembre, alors que la faille était encore considérée comme un zero-day, un autre pic d'utilisation a également été observé le 14 décembre 2022.

Deux adresses IP seulement (103.138.108.15 et 188.66.0.135) ont été à l'origine de plus de 20 000 tentatives d'exploitation auprès d'environ 12 000 sites Web.

Bien que WordPress soit relativement stable (environ 0,5 % de toutes les vulnérabilités liées à WordPress concernent la plateforme d'hébergement Web elle-même), son écosystème est vaste et offre donc de nombreuses possibilités d'exploitation. Les modules complémentaires payants, tels que celui-ci, sont généralement fréquemment mis à jour et les développeurs s'efforcent de maintenir un produit sûr, tandis que les modules complémentaires gratuits peuvent souvent rester des mois sans correctifs et se transformer en véritable cauchemar pour les webmasters.

• Les meilleurs plugins WordPress
• Meilleurs logiciels de création de sites web : tous les outils en ligne pour lancer votre site Internet
• Meilleurs hébergeurs web : quels fournisseurs choisir pour propulser votre site Internet ?

Via: BleepingComputer

Les chercheurs en cybersécurité de Jetpack (un outil de sécurité et d'optimisation spécifique à WordPress) ont découvert qu'un acteur malveillant a compromis AccessPress - un éditeur de thèmes et de modules complémentaires pour webmasters.

AccessPress a jusqu'à présent mis à disposition 40 thèmes et 53 plugins. Tous les thèmes gratuits ont été compromis, de sorte qu'une fois installés, ils permettent aux cybercriminels les contrôlant de modifier totalement le site web ciblé et de récupérer ses bases de données. Les chercheurs n'ont pas encore pu tester les thèmes e-commerce et, de ce fait,  ne se prononcent pas sur leur vulnérabilité. Le rapport indique également que le code malveillant exploité permet de couvrir les traces des hackers avec un succès relatif. La seule façon de confirmer ou d’infirmer qu’un site WordPress a été compromis est d'installer puis d’activer une solution de surveillance de l'intégrité des fichiers, indique Jetpack.

• Meilleurs logiciels de création de sites web : tous les outils en ligne pour vous lancer
• Voici les meilleurs plugins WordPress de 2022
• Pour aller plus loin : optez pour les meilleurs fournisseurs de messagerie professionnelle | meilleurs logiciels de montage vidéo | meilleurs logiciels gratuits de retouche photo

Comment vérifier l’intégrité de votre site web ?

Jusqu'à présent, les chercheurs ont constaté que cette porte dérobée (backdoor) redirige vers des pages web brouillonnes hébergeant divers logiciels malveillants et techniques d’escroquerie en ligne. Une campagne de niveau amateur qui laisse à penser que ses auteurs initiaux ont déjà quitté le projet - en prenant soin de vendre au préalable l’accès à des tiers, depuis le dark web.

Selon BleepingComputer, 360 000 sites Web utilisent les modules complémentaires et les thèmes d'AccessPress. JetPack a découvert la menace en septembre 2021, tandis qu'AccessPress les a retirés de sa boutique le 15 octobre. Aujourd’hui, l’éditeur a déployé une nouvelle version, propre, de tous les plugins concernés.

Toutefois, si votre site a déjà été compromis, la simple installation de la dernière version ne supprimera pas la porte dérobée. Elle ne fera que prévenir les menaces futures. Pour l'instant, BleepingComputer assure que la seule façon de nettoyer un site efficacement est de migrer vers un autre thème. 

Pour savoir si votre site a été compromis, vous pouvez suivre les instructions de Jetpack publiées ici, instructions incluant également les versions de thèmes et plugins infectés ainsi que celles corrigées. 

“Si vous avez installé des thèmes ou des plugins directement à partir d'AccessPress Themes ou de tout autre endroit que WordPress.org, vous devez immédiatement effectuer une mise à niveau vers une version sûre comme indiqué dans nos tableaux. Si aucune version sûre n'est disponible, remplacez-la par la dernière version de WordPress.org.

Veuillez noter que cela ne supprime pas la porte dérobée de votre système, vous devez donc réinstaller une version propre de WordPress pour annuler les modifications des fichiers de base effectuées pendant l'installation de la porte dérobée.

Si vous avez un thème ou un plugin payant de AccessPress Themes/Access Keys, nous vous conseillons de contacter leur support pour obtenir de l'aide.

Nous vous recommandons vivement de mettre en place un plan de sécurité pour votre site, comprenant une analyse des fichiers malveillants et des sauvegardes. Jetpack Security est une excellente option de sécurité WordPress pour assurer la sécurité de votre site et de vos visiteurs. Jetpack Scan a détecté toutes les variantes de cette porte dérobée et du dropper depuis le 30 septembre.”

Via BleepingComputer

Un plugin WordPress, activement utilisé par les webmasters, dissimulerait une faille de sécurité récemment découverte. Cette dernière permettrait à tout cybercriminel d’accéder aisément à la console d’administration d’un site touché.

La vulnérabilité serait présente dans le plugin WordPress WPS Hide Login. Elle a été révélée par l’un de ses utilisateurs - répondant au pseudonyme thalakus - sur le forum d’entraide de WordPress.org. 

Ironiquement, cette vulnérabilité va à l'encontre de l'objectif du plugin qui est censé cacher ladite console et rendre le répertoire wp-admin inaccessible aux non-administrateurs. 

Comme plus d'un million de sites WordPress utilisent activement WPS Hide Login pour ajouter une couche de sécurité plus profonde, les administrateurs concernés devraient mettre à jour la dernière version dès aujourd’hui, pour empêcher les hackers d'exploiter cette vulnérabilité.

• Quels sont les meilleurs plugins WordPress disponibles aujourd'hui ?
• Pour aller plus loin : optez pour les meilleurs hébergeurs web | meilleurs fournisseurs de messagerie professionnelle

Comment masquer la console d’administration de votre site WordPress ?

Si WPS Hide Login parvient - en règle générale - à protéger les identifiants administrateur d’un site WordPress, et la console associée, il existe d’autres méthodes tout aussi efficaces et qui ne nécessitent aucune installation de plugins tierces.

Les pirates informatiques et les robots qui tentent d'attaquer la page de connexion d'un site WordPress recherchent souvent une faille dans son emplacement par défaut. Il convient donc d’installer le logiciel WordPress dans un dossier de répertoire avec un nom aléatoire.  Ainsi, au lieu d'héberger la page de connexion sur le basique /wp-login.php, vous pouvez l'inclure dans un dossier de répertoire avec un nom plus complexe à localiser. Par exemple : /random-file-name/wp-login.php.

Pour autant, le plugin WPS Hide Login WordPress reste utile pour les sites qui ont déjà WordPress installé dans le répertoire racine.

Le créateur du plugin, Nicolas Kulka, a désormais corrigé le problème et les utilisateurs de WPS Hide Login peuvent installer la version 1.9.1 pour sécuriser leurs sites contre toute attaque potentielle exploitant cette vulnérabilité.

Via Search Engine Journal

Des chercheurs en cybersécurité ont contribué à corriger plusieurs vulnérabilités, dissimulées dans un plugin WordPress extrêmement populaire et permettant d’exporter diverses informations sensibles depuis les sites affectés.

Les vulnérabilités, découvertes par les analystes de Wordfence, sont apparues dans le plugin OptinMonster qui se targue d'une base d'utilisateurs de plus d'un million de sites web.

OptinMonster permet de créer des campagnes de vente sur des sites WordPress sans trop d'efforts, grâce à l'utilisation de boîtes de dialogue. Wordfence explique que la grande majorité des fonctionnalités du plugin, ainsi que le site de l'application OptinMonster, reposent sur l'utilisation de points de terminaison API.

• Meilleurs antivirus 2021 : quelle solution choisir ?
• En complément de votre antivirus, optez pour les meilleurs VPN 
• Vie privée : comment rester anonyme sur Internet et les réseaux sociaux ?

Sésame ouvre-toi

"Malheureusement, la majorité des points de terminaison REST-API n'ont pas été implémentés de manière sécurisée, ce qui a permis à des hackers non authentifiés d'accéder à de nombreux points de terminaison sur des sites exécutant une version vulnérable du plugin", explique Chloé Chamberland, spécialiste des cyber-menaces chez Wordfence. 

Dans sa description des vulnérabilités en question, Mme Chamberland note que l'un des points d'accès vulnérables aurait pu être exploité pour divulguer des données sensibles - telles que le chemin d'accès complet du site sur le serveur, ainsi que la clé API utilisée par le site Web pour effectuer des requêtes sur le site OptinMonster.

"En ayant accès à la clé API, un hacker pourrait modifier toute campagne associée au compte OptinMonster d'un site connecté et ajouter un JavaScript malveillant qui s'exécuterait chaque fois qu'une transaction serait effectuée sur le site exploité", ajoute Mme Chamberland.

Elle note que, de manière plutôt inquiétante, la vulnérabilité aurait pu être exploitée par n'importe quel visiteur du site web, sans aucune connaissance technique. 

Bien qu'aucun rapport ne fasse état de l'exploitation de ces vulnérabilités, le développeur du plugin a invalidé toutes les clés API, obligeant les utilisateurs à en générer de nouvelles. Il a également corrigé toutes les vulnérabilités et modifié le processus de création et d’édition des campagnes.

Une faille de sécurité de type cross-site scripting (XSS), découverte dans le plugin WordPress SEOPress, pourrait permettre à tout cybercriminel d'injecter des scripts web arbitraires dans des installations vulnérables et de prendre le contrôle de divers sites web.

SEOPress est un plugin SEO populaire, activé spécifiquement sur une centaine de milliers de sites WordPress à ce jour. Cette brèche a été découverte par les analystes du service de protection Wordfence, qui l'ont depuis portée à l'attention de l’éditeur du plugin le mois dernier.

"Le plugin permet d'ajouter un titre et une description SEO aux différents articles d’un site web. Cette étape peut aussi être effectuée lors de l'édition d’un article ou via un point de terminaison REST-API nouvellement introduit. Malheureusement, ce point de terminaison REST-API n'a pas été mis en œuvre de manière sécurisée", explique Chloé Chamberland, analyste des menaces chez Wordfence.

• Meilleurs antivirus 2021 : quelle solution choisir ?
• En complément de votre antivirus, optez pour les meilleurs VPN 
• Vie privée : comment rester anonyme sur Internet et les réseaux sociaux ?

A la portée de n’importe qui

Mme Chamberland estime que les vulnérabilités cross-site scripting telles que celle découverte dans SEOPress peuvent être exploitées pour exécuter diverses actions malveillantes. Comme la création de nouveaux comptes administratifs, l'injection de webshell, des redirections arbitraires, ou la prise de contrôle d’un site WordPress.

Partageant les détails techniques de cette vulnérabilité, Chamberland affirme qu'elle pourrait être exploitée par n'importe quel utilisateur authentifié, pour mettre à jour le titre et la description SEO de tout article.

"La charge utile inclut des scripts web malveillants, à l’instar de JavaScript, en raison d'un manque d'assainissement des paramètres stockés", détaille Chamberland, ajoutant que ces scripts s'exécuteraient chaque fois qu'un utilisateur accède à la page "All Posts". 

Cette faille a été entièrement corrigée dans la version SEOPress v5.0.4, et Wordfence invite tous les utilisateurs du plugin à mettre à jour leur configuration.

Plus de 900 000 sites WordPress ont été ciblés dans une nouvelle cyber-attaque de grande ampleur qui vise à rediriger tout visiteur vers des contenus malveillants. Des portes dérobées auraient également été implémentées dans l’en-tête de leurs thèmes, permettant de copier ou de détruire les identifiants administrateurs des sites concernés.

L’initiative de cette attaque semble être le fait d'un hacker isolé. Celui-ci s’est servi d’anciennes vulnérabilités connues de Wordpress pour modifier l’URL d’accueil d’un site et rediriger ses lecteurs vers un nom de domaine répertorié comme dangereux. C’est la charge utile Javascript injectée qui a permis aux experts en sécurité informatique d’identifier une action solo.

• Des alertes envoyées par Microsoft Teams cachent une tentative de phishing
• Une fraude financière en ligne détectée « toutes les deux minutes »
• Cette extension Chrome vous protège contre toute attaque en ligne

C’est Defiant, une société spécialisée dans la protection des sites Wordpress, qui a localisé la première la campagne d’attaques massive. Dans un billet de blog rédigé par Ram Gall, son directeur qualité, elle souligne l'ampleur de la propagation :

« Si nos archives indiquent que le responsable de cette menace a commencé par lancer un volume d'attaques restreint dans le passé, ce n'est qu’au cours de ces derniers jours qu'elles ont véritablement pris une dimension critique. Plus de 20 millions d'attaques ont été tentées contre près d’un demi-million de sites individuels le 3 mai 2020. Nous avons détecté au total 24 000 adresses IP distinctes envoyant des requêtes correspondant à ces attaques ».

Des vulnérabilités Wordpress qui courent toujours

Selon M. Gall, le cybercriminel a ciblé de multiples vulnérabilités présentes dans des plugins WordPress qui ont été soit retirés des dépôts officiels, soit corrigés durant les cinq dernières années.

Plus de la moitié des attaques ont visé des sites avec le plugin Easy2Map qui contient une vulnérabilité XSS. Bien que le plugin ait été retiré du dépôt WordPress en août 2019, il est toujours installé sur 3 000 sites environ. L'attaquant a également exploité des vulnérabilités XSS disponibles au sein du thème Newspaper ainsi que du plugin Blog Designer, respectivement corrigées en 2016 et en 2019.

La modification des URL d'accueil, elle, a pu se concrétiser par le biais d’une faille de sécurité visible sur les plugins WP GDPR Compliance et Total Donations. WP GDPR Compliance compte plus de 100 000 installations mais Defiant estime qu'il ne reste plus que 5 000 installations vulnérables. Total Donations, en revanche, a été définitivement retiré du marché au début de 2019 et on estime qu'il reste moins de 1 000 installations critiques au total.

Si votre site utilise l'un de ces plugins ou thèmes, il est fortement recommandé de les mettre à jour immédiatement et de supprimer ceux qui ne sont plus opérationnels dans le dépôt officiel de WordPress.

Via BleepingComputer

Les chercheurs en sécurité de WebARX ont découvert une nouvelle faille critique dans un plugin WordPress populaire. Celle-ci adjoindrait, à des utilisateurs non authentifiés, la possibilité d’administrer mais aussi de réinitialiser la base de données intégrale d’un site web.

Cette vulnérabilité a été découverte dans le plugin ThemeGrill Demo Importer qui permet de télécharger une grande variété de thèmes pour votre site WordPress. Ledit plugin est aujourd’hui installé sur plus de 200 000 sites.

• Microsoft détecte un nouveau malware caché derrière des fichiers Excel.
• Mozilla supprime près de 200 modules complémentaires douteux sur Firefox.
• Comment rester anonyme sur Internet et les réseaux sociaux ?

Des attaques à distance

Selon WebARX, seules les versions 1.3.4 à 1.6.1 du plugin ThemeGrill Demo Importer seraient vulnérables et permettraient à des pirates non authentifiés de lancer des attaques à distance. Ce en envoyant une charge utile, à partir d’une fonctionnalité spécifique du plugin.

La fonctionnalité en question peut effacer directement la base de données d'un site WordPress sur lequel le plugin infecté a été installé au préalable et où un thème ThemeGrill est déjà actif. En outre, si la base de données du site contient un compte sobrement intitulé « admin », le hacker peut facilement récupérer ses identifiants, ainsi que tous les droits d'administrateur.

La faille a été repérée pour la première fois au début du mois de février. Depuis, WebARX a remis ses conclusions à l’éditeur du plugin… qui s’est empressé de publier un correctif.

Toutefois, la dernière version du plugin (1.6.3), compte actuellement un peu plus de 100 000 téléchargements. Ce qui suppose que la moitié des victimes potentielles n’ont pas encore mis à jour leurs sites web et peuvent subir une attaque imminente. Si vous avez installé le plugin ThemeGrill Demo Importer issu sur votre site WordPress, nous ne saurions que fortement vous recommander de réactualiser celui-ci immédiatement.

Via ZDNet