AB a déconné à partir de samedi matin de bonne heure !

Voici la panne :



Max a planché dessus dès dimanche après-midi, mais c'était pas une panne ordinaire...Un truc de fou !!!

Ce type de panne – un site web compromis qui se met soudainement à envoyer des requêtes en masse vers des serveurs tiers (souvent pour du trafic de redirection, du référencement frauduleux ou SEO spam, ou pour participer à une attaque par déni de service) – relève d’une injection de code malveillant couplée à un mécanisme de déclenchement temporel.

Voici comment une telle faille peut se produire et s'activer de cette manière :

La compromission initiale (Porte dérobée / Web Shell) : Bien avant le samedi à 2 h 00, des pirates ont généralement réussi à s'introduire sur le serveur ou dans le code source du site. Cela se fait par le biais d'une faille de sécurité non corrigée : un plugin ou un thème obsolète, un module tiers vulnérable, des identifiants FTP/SSH ou d'administration faibles, ou une faille de type injection SQL.

Ils y déposent un script discret (un web shell) leur donnant un accès permanent. L'injection de code furtif : Le code malveillant est inséré au cœur de fichiers légitimes du site (dans le noyau du CMS comme WordPress, dans le fichier de configuration .htaccess, ou directement dans la base de données).

Ce code est conçu pour passer inaperçu lors des audits de sécurité de routine et n'altère pas l'apparence visuelle du site pour un visiteur classique.

La logique d'activation programmée (Le déclencheur horaire) : Le fait que le script s'active « un samedi à 2 h 00 du matin » répond souvent à une logique préméditée des attaquants : Effet de surprise et d'isolement : C'est une plage horaire où les équipes techniques et les administrateurs système dorment ou ne surveillent pas activement les tableaux de bord, ce qui laisse plusieurs heures au script pour agir avant toute intervention.

Fonctions de temporisation (Cron / JavaScript / Tâches planifiées) : Le code injecté contenait une condition temporelle (ex: date >= samedi 2h). Une fois l'heure atteinte, le script bascule d'un mode "silencieux" à un mode actif.

Le comportement de "bombardement" (Redirections ou Proxy) : Une fois réveillé, le code utilise les ressources du serveur ou le navigateur des internautes qui visitent le site pour générer un flux massif de requêtes vers des réseaux de serveurs (souvent situés en Asie dans ce type de scénarios bien documentés liés au SEO poisoning ou aux hacks de mots-clés). Le site devient alors une "passerelle" (ou proxy involontaire) qui redirige du trafic, essaie de saturer des cibles, ou manipule les moteurs de recherche en chargeant du contenu tiers invisible.