wp-vcd : le malware WordPress le plus répandu (et comment s'en débarrasser)

wp-vcd est un malware qui se propage massivement via les thèmes et plugins « nulled » — c'est-à-dire piratés et distribués gratuitement sur des sites douteux. En installant un thème premium « gratuit », on installe surtout la porte dérobée qui va avec.

Son but : injecter des liens et du contenu invisibles pour manipuler le référencement (spam SEO), afficher des publicités malveillantes, et maintenir un accès permanent au site.

Plusieurs signes caractéristiques trahissent wp-vcd :

• Des fichiers nommés wp-vcd.php et wp-tmp.php apparaissent à la racine ou dans wp-includes.
• Du code malveillant s'ajoute en tête de chaque fichier functions.php de vos thèmes.
• Des administrateurs inconnus sont créés discrètement.
• Des liens ou contenus cachés (souvent invisibles pour le visiteur) sont injectés dans vos pages.
• Dès que vous nettoyez un fichier, l'infection réapparaît : c'est sa signature.

wp-vcd est conçu pour la persistance. Il se réplique entre les thèmes installés (même inactifs), s'accroche à des fichiers chargés à chaque visite, et se réinstalle automatiquement. Nettoyer un seul fichier ne sert à rien : tant qu'une copie subsiste quelque part, elle régénère toutes les autres.

C'est la raison pour laquelle tant de propriétaires « nettoient » leur site dix fois sans succès. Il faut couper toutes les têtes de l'hydre en même temps, pas une par une.

Un nettoyage efficace de wp-vcd suit une méthode stricte :

• Identifier et supprimer tous les fichiers d'amorce (wp-vcd.php, wp-tmp.php) et le code injecté dans chaque functions.php.
• Supprimer impérativement les thèmes et plugins piratés — la source de l'infection — et les remplacer par des versions officielles légitimes.
• Réinstaller le cœur de WordPress et les extensions depuis les sources officielles pour garantir des fichiers sains.
• Nettoyer la base : supprimer les faux administrateurs et les options piégées.
• Changer tous les mots de passe et vérifier qu'aucune tâche planifiée malveillante ne subsiste.

wp-vcd se nourrit presque exclusivement des extensions « nulled ». Le thème premium à 60 € qu'on télécharge « gratuitement » coûte en réalité un nettoyage à plusieurs centaines d'euros, sans compter la perte de référencement. Achetez vos thèmes et plugins auprès des éditeurs officiels : c'est la meilleure prévention possible.

Si votre site est déjà infecté, notre service Ts-Rescue détecte wp-vcd par son comportement (et pas seulement par signature), décode les charges injectées et traite toutes les couches de persistance d'un coup. Le scan externe est gratuit pour confirmer rapidement l'infection.