À côté de la plaque, ces hackers chinois laissent leur propre serveur grand ouvert pendant trois semaines
Un groupe cybercriminel a scanné et piégé plus d'un million de sites WordPress et Joomla à l'aide de failles publiques, avant d'oublier de fermer l'accès à son propre serveur de travail, dévoilant tout son mode opératoire aux chercheurs..
Un groupe de pirates informatiques, soupçonné d'être originaire de Chine, a mené une vaste campagne de piratage contre plus d'un million de sites web utilisant les plateformes WordPress et Joomla. Leur objectif était d'exploiter des failles de sécurité dans ces sites pour y installer des portes dérobées (backdoors), permettant un accès illégal et prolongé. Cependant, les pirates ont commis une erreur majeure : ils ont laissé un serveur de travail accessible sans aucune protection pendant 22 jours, entre le 20 juin et le 12 juillet 2026. Ce serveur, utilisé pour gérer leur opération, était configuré pour fonctionner comme un simple serveur web Python, mais sans authentification requise pour y accéder. Cette négligence a permis à des chercheurs en cybersécurité de découvrir et d'analyser l'intégralité de leur campagne, révélant ainsi leurs méthodes et outils.
Les chercheurs des sociétés Ctrl-Alt-Intel et SOCRadar ont pu récupérer 800 mégaoctets de données et 434 fichiers laissés accessibles sur le serveur des pirates. Ces données incluaient des outils de piratage spécialisés, des scripts automatisés pour tester les failles des sites, ainsi que des historiques de commandes exécutées par les pirates. Parmi les éléments les plus sensibles figuraient des webshells, c'est-à-dire des scripts permettant de contrôler à distance un serveur compromis, et des configurations de serveurs de commande et contrôle (C2), utilisés pour gérer les machines infectées. Les chercheurs ont également trouvé des logs détaillant les sites ciblés et les résultats des scans effectués par les pirates.
Les pirates ont principalement exploité des vulnérabilités dans des extensions (plugins) obsolètes de WordPress et Joomla, des modules ajoutés aux sites pour leur donner des fonctionnalités supplémentaires. L'une des failles les plus utilisées concernait le plugin Breeze, qui a permis de compromettre plus de 17 000 sites. Pour identifier leurs cibles, les attaquants ont utilisé FOFA, un moteur de recherche chinois spécialisé dans la cartographie des appareils et services exposés sur Internet. Une fois une faille détectée, un fichier de test était déployé pour vérifier si l'exploitation était possible. Si le test réussissait, une backdoor était installée, assurant un accès permanent et discret au site piraté. Selon les estimations, près de 1,4 million de sites auraient été ciblés, bien que le nombre réel de sites effectivement compromis reste incertain.
Cette négligence des pirates a permis aux chercheurs de reconstituer presque en temps réel l'intégralité de leur campagne, offrant ainsi une visibilité sans précédent sur leurs méthodes. Les données récupérées ont été analysées et publiées par les deux équipes de recherche les 22 juin et 9 juillet 2026, respectivement. Bien que l'article ne mentionne pas de mesures concrètes prises par les autorités ou les éditeurs de WordPress et Joomla, cette découverte met en lumière l'importance de la sécurité des serveurs utilisés par les cybercriminels eux-mêmes. Elle rappelle également que les failles dans les extensions de sites web restent un vecteur majeur d'attaques, malgré leur accessibilité technique et leur coût souvent faible pour les pirates.
