Depuis quelques semaines, une vague d’attaques cible les sites WordPress à l’aide d’une fausse vérification Cloudflare. Derrière cette page apparemment légitime se cache un scénario de phishing sophistiqué visant à installer le malware LummaStealer sur les appareils des visiteurs.
Ce stratagème exploite la confiance accordée à Cloudflare pour tromper les utilisateurs et détourner des données sensibles. Dans cet article, nous allons décortiquer cette attaque basée sur une page de vérification frauduleuse, comprendre son fonctionnement, ses risques et surtout : comment s’en protéger efficacement.
Vous avez remarqué une vérification étrange sur votre site ou celui de vos clients ? Votre page d’accueil affiche subitement une demande de “vérification humaine” inhabituelle ? Vous êtes peut-être déjà victime d’un faux Cloudflare.
P.S.
Au-delà des fausses vérifications, certains sites rencontrent une vérification Cloudflare bloquée pour des raisons techniques non liées à une attaque.
Une nouvelle technique d’infection ciblant WordPress
Les cybercriminels innovent sans cesse pour contourner les protections. Leur dernière trouvaille ? Une page de vérification Cloudflare frauduleuse qui s’affiche à la place de votre site WordPress. Présentée comme un simple contrôle anti-bot, cette page est en réalité une page de phishing conçue pour exécuter un script malveillant dès que l’utilisateur interagit.
Le processus est subtil : l’utilisateur pense devoir valider un Captcha ou effectuer une vérification humaine, mais cette action déclenche l’exécution de commandes PowerShell dissimulées, entraînant le téléchargement du trojan LummaStealer.
L’attaque repose sur l’ingénierie sociale : elle trompe les utilisateurs en usurpant l’identité de Cloudflare, un service bien connu. La victime ne se doute de rien jusqu’à ce que ses données sensibles — mots de passe, cookies, portefeuilles cryptos — soient exfiltrées.
Cette infection chain s’est déjà propagée à grande échelle via des campagnes de scam et de détournement de domaine, notamment sur des sites peu ou mal sécurisés.
Le malware LummaStealer : vol massif de données
Une fois la fausse vérification Cloudflare validée, un fichier malveillant est discrètement exécuté sur l’ordinateur de la victime. Ce fichier déclenche une injection de commandes PowerShell permettant d’installer LummaStealer, un trojan spécialisé dans le vol d’informations sensibles.
Ce malware furtif est capable d’extraire une large gamme de données :
- Identifiants et mots de passe enregistrés dans les navigateurs
- Cookies de session permettant de contourner les connexions sécurisées
- Portefeuilles de crypto-monnaies
- Données personnelles et fichiers sensibles
Le script déployé peut également exploiter des failles via une clipboard injection : il modifie le contenu du presse-papiers de l’utilisateur pour détourner des adresses de paiement crypto par exemple.
Le tout se fait en arrière-plan, sans alerter l’antivirus dans de nombreux cas. LummaStealer est classé parmi les malwares les plus actifs en 2024 selon ScamSniffer, en raison de son efficacité et de sa discrétion.
➡️ Reconnaître les symptômes d’un malware WordPress
Pourquoi votre site est vulnérable à cette attaque ?
Les sites WordPress mal protégés constituent une cible de choix pour ce type d’attaque. En exploitant des plugins obsolètes, des thèmes vulnérables ou une mauvaise configuration de sécurité, les attaquants peuvent facilement détourner votre nom de domaine ou injecter des scripts malveillants.
Dans certains cas, le trafic de votre site est redirigé automatiquement vers une page de vérification falsifiée hébergée sur un domaine externe contrôlé par l’attaquant. Cela peut survenir sans que vous vous en rendiez compte si vous n’avez aucun système de surveillance actif.
Voici les causes les plus fréquentes :
- Absence de maintenance de sécurité régulière
- Utilisation de plugins ou thèmes non mis à jour
- Manque de pare-feu applicatif ou de solution WAF WordPress
- Permissions de fichiers trop permissives
- Injections via MU-plugins ou scripts tiers compromis
Ce type de vulnérabilité est souvent invisible pour l’utilisateur final mais catastrophique pour le référencement, la réputation et la sécurité de vos visiteurs.
➡️ Faites nettoyer votre site WordPress infecté par des experts
Comment vérifier si votre site a été piégé ?
Si vous ou vos visiteurs voyez une page de vérification Cloudflare étrange, cela peut être un signe d’infection. Il ne s’agit pas du managed challenge habituel de Cloudflare, mais d’un faux Captcha frauduleux visant à exécuter un script malveillant.
Voici les signes les plus fréquents :
- Une page de vérification s’affiche systématiquement sur la page d’accueil
- La page semble imiter Cloudflare mais contient des fautes ou éléments suspects
- Le nom de domaine affiché dans la barre d’adresse ne correspond pas au vôtre
- Le site devient lent, se redirige tout seul, ou plante de manière aléatoire
Pour confirmer une infection :
- Scannez votre site avec un outil comme ScamSniffer ou VirusTotal
- Inspectez les fichiers récemment modifiés sur votre hébergement
- Vérifiez l’apparition de mu-plugins inconnus ou de fichiers suspects
- Analysez les redirections malveillantes via votre .htaccess ou wp-config.php
➡️ Demandez un diagnostic gratuit pour votre site WordPress
Nettoyer votre site WordPress infecté par LummaStealer
Si votre site ou celui d’un de vos clients a affiché une fausse page de vérification Cloudflare, il est impératif d’agir immédiatement. Le malware LummaStealer est conçu pour s’installer discrètement et exfiltrer des données confidentielles en continu. Plus l’infection dure, plus les dommages sont importants.
Voici les étapes pour nettoyer votre site :
- Isoler le site infecté : mettez-le hors ligne temporairement
- Supprimer les fichiers compromis : analysez les MU-plugins, thèmes, et plugins
- Nettoyer la base de données : recherchez les injections dans les tables wp_options et wp_posts
- Modifier tous les accès : FTP, admin, base SQL, hébergeur
- Mettre à jour WordPress et ses extensions après vérification
Si vous n’êtes pas sûr de l’origine de l’attaque ou que le site continue de rediriger après vos actions, un nettoyage professionnel est recommandé. Chez Sécurité WP, nous intervenons sous 24h pour nettoyer intégralement un site WordPress piraté, et assurer un suivi post-intervention.
➡️ Découvrez notre service complet d’élimination de malware WordPress
Empêcher une future infection : les bonnes pratiques
Après avoir neutralisé une attaque comme celle de LummaStealer, il est crucial de sécuriser durablement votre site WordPress pour éviter toute récidive. De simples négligences techniques peuvent ouvrir la porte à d’autres formes de phishing, de clipboard injection ou de détournement de domaine.
Voici les pratiques à mettre en place immédiatement :
- Mettre à jour WordPress, les thèmes et les plugins dès qu’une version est disponible
- Installer un pare-feu applicatif (WAF) et un scanner de fichiers malveillants
- Activer l’authentification à deux facteurs (2FA) sur tous les comptes admin
- Utiliser un Captcha sécurisé ou Cloudflare Turnstile au lieu des solutions classiques vulnérables
- Effectuer des sauvegardes automatiques sur un hébergement externe
- Surveiller l’activité avec des outils d’analyse réseau ou des logs en temps réel
Il est également recommandé de souscrire à une maintenance de sécurité professionnelle, qui inclut la veille, la prévention, les mises à jour et les alertes en cas d’anomalie.
➡️ En savoir plus sur notre service de maintenance WordPress sécurisée
Cas client : “Mon site affichait Cloudflare et a disparu de Google Ads”
Ce cas réel illustre les conséquences d’une attaque via faux Cloudflare vérification sur un site WordPress d’e-commerce. Le gérant du site nous contacte après avoir constaté une chute brutale du trafic : la page d’accueil affichait une “vérification humaine” suspecte, et Google Ads avait suspendu ses campagnes pour détection de logiciel malveillant.
L’analyse de nos experts a révélé la présence du malware LummaStealer, injecté via un fichier dissimulé dans le dossier mu-plugins. Ce fichier lançait une redirection vers une page de phishing hébergée sur un domaine externe. Résultat : perte de visibilité, suppression temporaire des campagnes publicitaires et atteinte à la réputation du site.
Après nettoyage complet, sécurisation de l’infrastructure et intervention auprès de Google, le site a pu retrouver son activité normale. Ce type d’incident démontre l’importance de détecter rapidement ce genre de fausse vérification et de disposer d’un plan de sécurité efficace.
➡️ Pourquoi Google Ads rejette votre site WordPress infecté ?
➡️ Compte Google Ads suspendu : comment réagir face à un malware
En résumé : les 5 actions à retenir
Face à la menace du faux système de vérification Cloudflare et au malware LummaStealer, voici les réflexes essentiels à adopter pour protéger votre site WordPress :
- Ne jamais interagir avec une page Cloudflare inattendue, surtout si elle apparaît subitement sur votre domaine.
- Scanner immédiatement votre site en cas de comportement anormal (redirection, lenteur, vérification forcée).
- Inspecter les fichiers et plugins, notamment les MU-plugins et les scripts injectés via la base de données.
- Faire appel à un professionnel pour supprimer le malware et renforcer la sécurité du site.
- Mettre en place une solution de maintenance WordPress sécurisée avec alertes, mises à jour, et firewall intégré.
Un seul clic sur un faux Captcha peut compromettre des mois de travail. La prévention et la surveillance sont vos meilleures armes.
Protégez votre site avant qu’il ne soit trop tard
Les attaques utilisant de fausses vérifications Cloudflare ne cessent de se perfectionner. Elles visent à voler vos données, détourner vos visiteurs et parfois faire bannir votre site de Google Ads ou d’autres plateformes.
Si vous avez constaté une vérification suspecte ou si vous doutez de l’authenticité d’un comportement sur votre site, n’attendez pas. Chaque minute compte pour éviter une infection complète ou la perte de vos données.
Chez Sécurité WP, nos experts interviennent en moins de 24h pour :
- Supprimer tout malware (y compris LummaStealer)
- Rétablir votre site en ligne
- Protéger durablement votre installation WordPress
➡️ Demandez dès maintenant l’intervention d’un expert WordPress
