Les sites Wordpress victimes d'attaques par force brute

Selon CloudFlare, les sites Wordpress du monde entier font actuellement l’objet d’une importante campagne d’attaque en force brute sur leur interface d’administration. Sur son blog, le fournisseur de services de distribution de contenus explique que les attaquants «utilisent le nom d’utilisateur ‘admin’ et essaient des milliers de mots de passe». C’est en fait un botnet qui se charge de la basse besogne, fort de «plusieurs dizaines de millier d’adresses IP uniques.» Mais CloudFlare relève surtout l’originalité de l’opération qui s’appuie sur «un botnet relativement faible de PC domestiques pour construire un botnet bien plus vaste, composé de serveurs, afin de préparer une attaque ultérieure. Ces machines plus puissantes peuvent causer bien plus de dégâts en attaques par déni de service distribué (DDoS) par qu’elles disposent d’importantes connexions réseau et sont capables de générer des volumes de trafic significatifs.» Pas une nouveauté complète, mais un procédé déjà utilisé à l’automne dernier pour cibler des institutions financières américaines. 

Le billet de CloudFlare a eu le mérite de générer des échanges animés afin d'inventorier les solutions permettant de protéger les installations Wordpress contre cette campagne. Parmi elles, le fait de renommer le fichier PHP de Wordpress chargé de gérer l’ouverture de session, ou les extensions Stealth Login Page, qui modifie l’URL de la page d’ouverture de session, et Google Authenticator, qui s’appuie sur l’application mobile d’authentification à deux facteurs de Google. Hostgator a également proposé une solution.