Olivier Bonvalet 🖖

Dimanche soir. Un client m’écrit : “Il n’y a plus les produits en page d’accueil, ni le slider.” J’ouvre le serveur en pensant à un souci de cache. Je ne trouve rien côté cache mais des fichiers chelous, je tombe sur un skimmer de carte bancaire caché dans sa boutique PrestaShop, actif depuis la veille. Le pirate est entré par une injection SQL dans le module SmartBlog 2.0.1 (faille connue depuis 2020). Quatre minutes lui ont suffi pour poser un webshell et modifier une vingtaine de fichiers du cœur, antidatés à 2019 pour passer inaperçus. À l’étape du paiement, un faux formulaire de carte remplaçait les vrais moyens de paiement. Le client tapait sa carte, la page faisait mine de charger, puis l’envoyait vers le vrai paiement où la commande passait normalement. Un mouchard sur la connexion admin lui envoyait en plus chaque identifiant. Il s’est fait repérer par maladresse : sa modification du moteur de templates a cassé l’affichage de la home. Sinon, mon client n’aurait rien vu. Si vous avez un vieux PrestaShop 1.6 : SmartBlog installé : supprimez-le, ou bloquez au moins modules/smartblog/ajax.php - cherchez “Smarty_Validate_Vars” et “acaac5a0” dans le code - regardez les dates de modification dans tools/smarty/sysplugins/ Bref migrez.