WordPress pris d'assaut : 37 288 attaques recensées en un seul week-end
Le week-end des 23 et 24 mai a été le plus intense que nous ayons connu jusqu’à présent sur le réseau. Les sites membres ont transmis 37 288 signalements d’attaques via l’API ReportedIP, liés à 15 066 adresses IP d’attaquants distinctes. Plus d’un quart de ces signalements — soit 10 078 — provenaient de sites WordPress utilisant le plugin Hive.
Si vous gérez un site WordPress public et que vous n’êtes pas protégé par un système de blocage basé sur la réputation, une semaine type comprend désormais un week-end entier d’activité en arrière-plan. Voici ce que la communauté nous a fourni au cours de ces deux jours, à quoi ressemblent les tendances, et ce que nous avons mis en place en plus.
Comment s’est déroulé le week-end ?
Trois axes, une infrastructure
Les trois principales catégories d’attaques enregistrées samedi et dimanche étaient les tentatives de piratage (23 019 signalements), les attaques par Brute-Force visant les identifiants de Login (10 215) et les attaques combinées SSH et WordPress (3 889). Le total est supérieur au nombre d’adresses IP uniques, car les mêmes adresses IP d’attaquants ont ciblé plusieurs catégories sur un même site en l’espace de quelques minutes : un même hôte lance une attaque Brute-Force, échoue, puis teste immédiatement wp-config.php.bak et /.env sur la même cible.
C’est cet effet de réseau qui permet à la réputation communautaire de fonctionner : une adresse IP qui bombarde le formulaire de Login du site A à 14 h 02 UTC figure déjà sur la liste noire du site B à 14 h 03 UTC, avant même d’avoir pu accéder au site B. Au cours du week-end, l’adresse IP moyenne des attaquants est apparue dans 2,5 des 9 Threat Categories suivies par l’API : il ne s’agit pas de bots à usage unique, mais de véritables boîtes à outils.
Origine : quatre pays totalisent 18 254 adresses IP
La concentration géographique observée ce week-end était exceptionnellement restreinte. Quatre pays d’origine ont généré 18 254 des adresses IP uniques des attaquants que nous avons suivies :
- États-Unis : 10 920 adresses IP — principalement des hébergeurs et des parcs de serveurs cloud, pas d’adresses résidentielles.
- Inde : 3 038 adresses IP — un large éventail d’ASN d’opérateurs télécoms et de petits fournisseurs de serveurs virtuels privés (VPS).
- Pakistan : 2 281 adresses IP — concentrées chez trois grands fournisseurs d’accès à Internet.
- Pays-Bas : 2 015 adresses IP — presque exclusivement des services d’hébergement sécurisés et économiques.
Le blocage par pays est une mesure peu nuancée et nous ne le recommandons pas par défaut. Toutefois, si vous constatez des tentatives de connexion répétées provenant de l’une de ces quatre origines et que vous n’avez aucune raison commerciale d’accepter le trafic en provenance de celles-ci, le rapport coût-bénéfice penche rapidement en sa défaveur.
WordPress reste la cible principale
Sur les 37 288 signalements, 10 078 (soit 27 %) provenaient de sites WordPress équipés de ReportedIP Hive. Ces sites bloquent collectivement plus de 600 schémas d’attaque distincts chaque jour ; ce week-end, ce chiffre a grimpé à plus de 1 100 schémas par site. Les clients ayant activé le Hardening Mode de Hive ont vu la nouvelle période de rétrospective glissante de 2 heures se déclencher deux fois samedi et une fois dimanche, chaque fois qu’une vague coordonnée frappait un groupe de 20 à 50 sites au cours de la même fenêtre de 60 secondes.
Nous avons également reçu, comme d’habitude, quelques appels téléphoniques lundi matin de la part de clients dont les sites n’étaient pas protégés et avaient été piratés : une page d’accueil défigurée, un utilisateur WP-Admin nommé admin-backup qu’ils n’avaient jamais créé, ou encore un dossier de plugins rempli de fichiers PHP obfusqués. Rien de tout cela n’a de surprenant, et tout cela peut être évité.
Ce qu’a fait Hive à ce sujet
Deux éléments ont été mis en ligne dans les jours qui ont suivi le week-end, tous deux directement inspirés par ce que la communauté a proposé via l’API :
- Hive 2.0.15 (publiée le 21 mai) : les notifications d’administration destinées à plusieurs destinataires ne sont plus ignorées en silence par le relais ; Hardening Mode ne se réactive plus toutes les heures face au même schéma d’attaque ; et le délai d’attente 429 du relais est désormais respecté côté client. Notes de mise à jour complètes →
- Surface leurre à 40 Decoy Paths : toute requête concernant
wp-config.php.bak,.env.production.bak,configuration.php.bakdes dumps SQL courants dans le répertoire racine du site,.aws/credentials,.ssh/id_rsa, ou de l’un des 33 autres fichiers appâts, constitue désormais un signal indiquant avec un haut degré de certitude la présence d’un attaquant — et ce signal alimente la base de données de réputation communautaire lorsque Hive fonctionne en mode « Community Network ».
Protégez-vous
Si vous gérez un site WordPress public, la mesure la plus économique et la plus efficace que vous puissiez prendre cette semaine est d’installer Hive en mode « Community Network ». Cela ne coûte rien, cela réduit la charge liée aux attaques Brute-Force d’un ordre de grandeur, et chaque bloc que vous enregistrez contribue à accélérer le réseau pour le site suivant.
- Procurez-vous ReportedIP Hive → Full Edition avec 16 capteurs, une authentification à deux facteurs (2FA) à 4 méthodes et le Hardening Mode.
- Mettre en place un « honeypot » → Déployer un serveur leurre connecté à Internet et fournir au réseau de la Threat Intelligence d’un haut niveau de fiabilité.
- API Reference → Utilisez directement l’API de réputation si vous exploitez votre propre pile WAF.
Le week-end dernier est déjà derrière nous. Le prochain approche à grands pas. Les Reports continuent d’affluer — le compteur tourne au moment même où vous lisez ces lignes.