WordPress : une attaque massive de spam déjouée par l'IA

Une attaque de spam ciblée sur WordPress

Il y a environ un mois, mon site principal a été la cible d'une attaque massive de spam. Les spammeurs utilisaient le champ de nom d'utilisateur comme vecteur de message, le remplissant avec un faux domaine et des incitations à la crypto-monnaie telles que "vérifier le solde", "retirer des fonds" et "action requise". WordPress m'a ensuite transmis cette charge en milliers d'emails de "nouvelle inscription utilisateur".

À ce moment-là, mon serveur utilisait un produit de sécurité acheté commercialement censé protéger mon site WordPress contre le spam d'inscription. Ce produit n'était clairement pas à la hauteur. Je suis le développeur d'un plugin de sécurité WordPress conçu pour aider les utilisateurs à restreindre l'accès à leurs sites. Comme le produit de sécurité contre le spam d'inscription que je payais ne fonctionnait pas, j'ai décidé d'intégrer une capacité de sécurité contre le spam dans mon plugin existant.

Développement de la solution

J'ai rapidement pris des captures d'écran de ma boîte Gmail avec quelques centaines d'emails de spam, j'ai alimenté ces emails dans Codex et lui ai demandé d'écrire une routine de mitigation que je pourrais déployer rapidement dans mon outil existant. Une fois Codex terminé, j'ai déployé le plugin amélioré aux utilisateurs et sur mon propre site.

Le problème est passé d'une attaque active à un silence complet en moins d'une heure. C'était au début de juin. Puis, la semaine dernière, les attaques ont fait leur retour en force.

Analyse des attaques

Au fil des ans, j'ai remarqué que les spammeurs ont tendance à escalader. Ils envoient des sondages aux sites pour essayer de trouver des vulnérabilités faciles. S'ils en trouvent une, ils l'exploitent. Mais une fois que vous mettez en place une mitigation, les attaques ne disparaissent pas. Elles continuent à sonder le site, cherchant de nouvelles façons d'entrer. Je suis sûr que l'IA est maintenant déployée par les malfaiteurs pour augmenter la profondeur de ces sondages.

Mon fournisseur d'hébergement m'a informé que ma base de données avait dépassé 39 000 comptes utilisateurs avec plus de 700 000 enregistrements de métadonnées utilisateurs. Ils observaient des milliers d'inscriptions constantes. J'ai également constaté cela, car ma boîte de réception et mon dossier de spam recevaient plusieurs variations à un rythme assez rapide. Le tableau de bord des comptes utilisateurs était tellement encombré que la page ne pouvait même pas se charger.

On m'a poliment informé que je devais nettoyer ma base de données et empêcher cela de se reproduire. Le sous-texte non dit de ce message était que si je ne parvenais pas à arrêter les attaques infectant leur infrastructure de base de données, mon site deviendrait persona non grata.

Mise en place de la défense

Ce week-end, j'ai utilisé Claude Cowork et OpenAI Codex pour lutter contre le spam, en intégrant des fonctionnalités de mitigation beaucoup plus robustes dans mon produit de sécurité pour contrer les attaques.

En tant que projet secondaire, j'ai un produit de sécurité assez puissant qui protège les sites WordPress. L'année dernière, j'ai utilisé Codex pour augmenter considérablement ses capacités. À l'époque, j'avais mis à niveau Codex au niveau Pro à 200 $ par mois. Après l'expédition de ces ajouts, je suis revenu au niveau Plus à 20 $ par mois. Je développe activement une série de produits pour l'écosystème Apple, pour cela, j'utilise Claude Code au niveau Max à 100 $ par mois.

Diagnostic avec Claude Cowork

Ma lutte a commencé par un jeu de whack-a-mole en cybersécurité. Comment, exactement, les malfaiteurs réussissaient-ils à entrer ? J'avais bloqué la page d'inscription des utilisateurs dans ma mitigation précédente. J'avais même détecté des signaux de spam (noms d'utilisateur générés par machine ou gibberish et adresses email malformées), utilisé des champs honeypot pour piéger les bots, bloqué les inscriptions sans enregistrements MX valides et vérifié les inscriptions contre la liste noire StopForumSpam.

Pourtant, d'une manière ou d'une autre, les spammeurs étaient de retour en force. J'ai passé environ une heure à parcourir mon site, sans trouver de points faibles. J'ai donc décidé de déployer une IA.

J'ai expliqué le problème à Cowork et l'ai laissé faire. Au début, il voulait un accès administrateur, mais j'ai expliqué que les spammeurs trouvaient des exploits sans accès admin. L'IA semblait comprendre et s'est mise à examiner mon site.

Après environ 40 minutes, elle a identifié plusieurs problèmes. Le plus prononcé était que bien que ma page d'inscription ait un CAPTCHA, les spammeurs pouvaient soumettre des URL qui initieraient l'inscription sans demander un CAPTCHA. Cela devait être corrigé.

Développement des correctifs

J'ai exporté ma base de données de site et l'ai alimentée dans Claude Cowork. Je lui ai demandé d'extraire toute information qu'il pouvait concernant l'identification des comptes spam et des pratiques de spam, en fonction de ce qui avait historiquement réussi à passer à travers les protections.

Cowork a trouvé plusieurs signaux indiquant que de nombreux comptes étaient spam. Il a également remarqué que les spammeurs déversaient des URL dans le champ bio (et non dans le champ URL). Claude m'a aidé à identifier les points de vulnérabilité sur le site et a spécifié de nouvelles fonctionnalités à ajouter au plugin. J'ai ensuite demandé à Claude d'écrire un prompt que je pourrais transmettre à Codex pour qu'il puisse mettre en œuvre les correctifs pour les vulnérabilités identifiées.

Utilisation de Codex

Codex, l'agent de codage d'OpenAI, est disponible dans le niveau Plus de 20 $ par mois de ChatGPT. Dans l'une de mes précédentes sessions de codage, j'ai trouvé Codex très puissant, mais la quantité de travail qu'il pouvait faire était assez limitée sans mise à niveau.

Je voulais voir si je pouvais construire l'ensemble du bloc de code nécessaire pour atténuer les attaques de spam, juste en utilisant mon abonnement ChatGPT Plus existant. En résumé : j'ai réussi, mais à peine.

J'ai utilisé Codex pour construire trois systèmes principaux :

• J'ai ajouté des signaux supplémentaires pour détecter le spam.
• J'ai ajouté un CAPTCHA d'inscription à chaque point d'entrée ouvert où quelque chose pouvait essayer de s'inscrire, y compris le formulaire d'inscription standard de WordPress et d'autres points d'entrée publics, tels que REST API, XML-RPC, admin-ajax et formulaires d'inscription personnalisés.
• J'ai utilisé Codex pour ajouter un outil de nettoyage de comptes spam qui utilise toutes les fonctionnalités d'analyse de signaux de comptes spam pour déterminer si un compte utilisateur est spam.

C'était une poussée intensive de codage durant le week-end. Pour chaque heure que cet outil restait non déployé, de plus en plus de comptes utilisateurs étaient créés. J'étais dans une course contre la montre pour l'arrêter avant que les spammeurs ou mon fournisseur d'hébergement ne ferment mon serveur.