Comment corriger le virus de redirection de Wordpress vers cloudcdnstatic (citadores et autres sites)

Depuis quelques temps, un virus assez difficilement trouvable par les méthodes classiques (décrites ici) attaque les sites Wordpress.

Quand on arrive sur une page du site, on est détourné vers un autre site, pas spécialement "fréquentable" de type citadores ou webcam.

Le message d'alerte de l'antivirus parle d'une redirection dangereuse vers quelque chose comme s13.cloudcdnstatic...

Si vous passez une couche de Wordfence ou autre plugin de sécurité, vous ne trouvez rien.

Si vous récupérez tous les fichiers sur votre ordinateurs et les passez par votre antivirus ou un détecteutr de malware, vous ne trouverez rien non plus.

Si vous changez de template ou désactivez les virus, le virus reste donc il est bien dans les fichiers de Wordpress.

Comment s'installe-t-il ? Mystère et Boule de gomme..

En examinant tous les fichiers, vous trouverez le code du virus à la toute fin du fichier . Il commence en général par:

<?php ini_set("display_errors", 0); ini_set("display_startup_errors", 0); if (PHP_SAPI !==  .....

et finit par le fameux { print(base64_decode("PHN....")); } ?>

Le fichier wp-activate.php  peut aussi être infecté et il peut y avoir d'autres fichiers qui ne sont pas présents dans la configuration normale de Wordpress (mais ceux-ci, un plugin comme Wordfence les détectera).

Par sécurité, après avoir supprimé les lignes du virus de votre WP-Config, le mieux est de télécharger la version "pure" de Wordpress et de remplacer les fichiers de base ainsi que ceux des dossiers WP-Include et WP-Admin dans votre installation (par ftp, un simple upload avec remplace les fichiers du même nom).