Un client vous écrit : « Votre site m'envoie vers une page de loterie ». Vous ouvrez le site sur votre ordinateur, tout est normal. Vous essayez sur votre téléphone : normal aussi. Et pourtant le client ne ment pas. Ce scénario est typique d'une redirection malveillante sélective, conçue pour ne se déclencher que dans certaines conditions. Notre page site qui redirige vers un autre site présente la démarche complète de nettoyage ; cet article explique pourquoi la redirection ne touche que les mobiles et comment la retrouver.
Pourquoi seulement sur mobile
Les pirates qui installent une redirection cherchent à durer. Plus le propriétaire du site tarde à s'en rendre compte, plus la redirection leur rapporte (trafic revendu, fausses loteries, abonnements frauduleux, applications piégées). Ils filtrent donc les visiteurs :
- Selon l'appareil : le code lit l'identifiant du navigateur (le « user agent ») et ne redirige que les téléphones. Le propriétaire, qui gère son site depuis un ordinateur, ne voit rien.
- Selon la provenance : seuls les visiteurs qui arrivent depuis Google, Facebook ou un autre site sont redirigés. Quelqu'un qui tape l'adresse directement n'est pas concerné.
- Selon la fréquence : la redirection ne se produit qu'une fois par visiteur, puis un cookie l'empêche de se répéter. D'où votre test sur téléphone qui ne donne rien : vous avez peut-être déjà été redirigé une fois sans y prêter attention, ou vous êtes connu comme administrateur.
- Selon la connexion : les administrateurs connectés au tableau de bord de WordPress sont souvent exclus, de même que les adresses IP des moteurs de recherche, pour ne pas éveiller de soupçons.
Comment reproduire la redirection
Pour la voir de vos propres yeux, il faut se placer dans les conditions d'un visiteur ordinaire :
- Utilisez un téléphone qui n'a jamais visité le site, ou ouvrez une fenêtre de navigation privée.
- Coupez le Wi-Fi et passez en données mobiles : certaines infections excluent les adresses déjà vues.
- Déconnectez-vous du site si vous y êtes connecté.
- Passez par Google : cherchez le nom de votre entreprise et cliquez sur le résultat, au lieu de taper l'adresse.
- Essayez plusieurs pages, pas seulement l'accueil : un article de blog ou une fiche produit bien positionnée est souvent la cible.
Sur ordinateur, les outils de développement de Chrome ou Firefox permettent aussi de simuler un téléphone. C'est utile, mais moins fiable : certains scripts détectent cette simulation.
Où se cache la redirection
Une fois la redirection confirmée, il reste à trouver son mécanisme. Les emplacements les plus courants :
Le fichier .htaccess
À la racine du site, et parfois dans des sous-dossiers. Des règles de réécriture qui testent le user agent (mentions d'Android, iPhone, Mobile) ou la provenance (google, bing, facebook) et renvoient vers une adresse externe sont un classique. Comparez-le à la version d'origine fournie par votre outil (WordPress, PrestaShop) ou à une sauvegarde ancienne et saine.
Un fichier PHP du site
Le code peut être ajouté en tête du fichier index.php, du fichier wp-config.php, du fichier functions.php du thème, ou d'une extension. On le reconnaît souvent à des chaînes de caractères illisibles, encodées en base64, ou à des fonctions comme eval.
La base de données
Sur WordPress, un script peut être injecté dans les options du site, dans un widget, dans le contenu d'articles ou dans les réglages d'une extension qui permet d'ajouter du code dans l'en-tête. Le code est alors en JavaScript et s'exécute dans le navigateur du visiteur.
Un script externe
Le site charge un fichier JavaScript depuis un domaine inconnu, souvent au nom proche d'un service connu (statistiques, polices de caractères, jQuery). C'est ce script qui décide de rediriger ou non.
Ce qu'il ne faut pas faire
- Supprimer la seule ligne trouvée et s'arrêter là : il y a presque toujours un mécanisme de réinstallation ailleurs. Nous expliquons pourquoi dans notre article sur les sites qui se réinfectent.
- Restaurer une sauvegarde sans vérifier sa date : une redirection sélective peut être en place depuis des semaines, donc présente dans vos sauvegardes récentes.
- Ignorer le problème parce que vous ne le voyez pas : Google finit généralement par repérer ces redirections, et l'alerte « site dangereux » arrive alors pour tout le monde.
Les gestes immédiats
- Faites une copie complète du site (fichiers et base) avant toute modification.
- Changez les mots de passe de l'hébergeur, du FTP, de la base de données et des administrateurs.
- Vérifiez la liste des comptes administrateurs.
- Si des clients ont été redirigés vers une page de paiement ou de téléchargement, prévenez-les de ne rien installer et de ne saisir aucune donnée bancaire.
Besoin d'aide ?
Une redirection sélective sur un WordPress standard relève généralement du nettoyage express à 190 € ; si la base de données est touchée ou si plusieurs sites partagent le même hébergement, c'est le nettoyage complet à 350 €. TVA non applicable, prix annoncé après le diagnostic gratuit. Joignez-nous au 04 82 53 39 32 ou à lois.armand@hinsight.org, ou passez par le diagnostic gratuit.
Sources
- Cybermalveillance.gouv.fr, fiche pratique sur la sécurité des sites internet
- Google, rapport de transparence Safe Browsing