Balada Injector : reconnaître et nettoyer cette infection WordPress tenace

Balada Injector est une campagne d'attaque automatisée qui exploite les vulnérabilités connues des thèmes et plugins WordPress pour injecter du code malveillant. Elle évolue en vagues, chaque vague visant une nouvelle faille récemment divulguée.

Son objectif principal : rediriger le trafic de votre site vers des escroqueries (faux supports techniques, fausses loteries, notifications push frauduleuses) et installer des portes dérobées pour garder l'accès.

Une infection Balada se reconnaît à plusieurs signes :

• Redirections vers des domaines douteux, souvent déclenchées uniquement depuis les résultats de recherche ou sur mobile.
• Apparition d'administrateurs WordPress inconnus, parfois avec des noms d'apparence légitime.
• Scripts JavaScript injectés faisant appel à des domaines externes obscurs.
• Fichiers PHP malveillants déposés un peu partout, y compris dans les dossiers d'upload.
• Des entrées suspectes dans la base de données (options, contenu d'articles modifié).

Balada multiplie les points d'ancrage : portes dérobées dans plusieurs fichiers, administrateurs cachés, code dans la base, parfois des tâches planifiées. Il modifie aussi régulièrement ses domaines de redirection pour échapper aux listes de blocage.

Un nettoyage partiel laisse au moins une porte dérobée active — et l'attaquant revient. C'est pourquoi il faut une cartographie complète de l'infection avant de nettoyer, et pas l'inverse.

Pour éradiquer Balada Injector durablement :

• Repérer toutes les portes dérobées, y compris celles qui détournent des fonctions WordPress légitimes (analyse comportementale, pas seulement par signature).
• Supprimer les administrateurs frauduleux et auditer tous les comptes.
• Nettoyer la base de données des scripts et redirections injectés, dans une transaction réversible.
• Identifier et corriger la faille d'entrée : c'est presque toujours un plugin vulnérable non mis à jour.
• Réinstaller le cœur et les extensions depuis les sources officielles, puis durcir la sécurité.

Balada n'exploite pas de magie : il s'engouffre dans des failles déjà corrigées par les éditeurs. Un site dont le cœur, le thème et les extensions sont à jour est immunisé contre l'immense majorité de ces attaques. La mise à jour rigoureuse est la meilleure défense.

Notre service Ts-Rescue identifie précisément le plugin vulnérable exploité (audit des versions croisé avec les failles connues), nettoie l'ensemble et propose ensuite une surveillance continue pour éviter qu'une nouvelle vague ne réinfecte le site. Commencez par le scan gratuit pour confirmer la présence des redirections.