[Résolu] Attaque virale (Créer un compte)

En vous plaçant dans la table wpOk_usermeta, pouvez-vous cliquer l’onglet SQL et y coller le code suivant:

SELECT user_id FROM wpOk_usermeta WHERE meta_key = 'wpOk_capabilities' AND meta_value LIKE '%administrator%';

Auparavant vérifiez si dans la base de données le préfixe est bien wpO(lettre O)k (c’est ce que j’ai mis) ou wp0(zéro)k et modifiez si besoin est.

Vous devriez avoir une série de numéros d’identification qui correspondent aux administrateurs présents.; notez-les puis allez dans la table wpOk_users et regardez à quoi ça correspond. Il doit y avoir l’ID des administrateurs légitimes  + les intrus. L’intrus amin2backup est-il revenu? Y-a-t-il d’autres intrus?

Dois-je copier le code fourni à la suite ou à la place de cette ligne ?

A la place.

Oui, chaque fois que vous supprimez l’intrus, il revient avec une identité différente. Actuellement seule  33 est active. Inutile de s’occuper de la base de données actuellement; il faudra faire un petit nettoyage de base de données pour enlever tout ça plus tard mais pour le moment vous n’avez pas d’autre choix que de suivre le tuto de @flobogo comme elle le disait précédemment:

Si le pirate revient dans quelques jours (ce qui est probable car Worfence alerte sur ce qui est anormal, mais ne nettoie rien), il faudra suivre la totalité du tuto de nettoyage.

Il est urgent d’agir … mais sans précipitation, car vous risquez de faire des bêtises en allant trop vite sur des choses que vous ne maîtrisez pas.

Quelques petits points :

• ne mettez pas de capture d’écran contenant des infos confidentielles vous concernant (comme votre adresse mail) : j’ai supprimé plusieurs captures d’écran. Si besoin, masquez les infos confidentielles par un trait noir (au lieu du jaune pour surligner ^^) sur la capture écran
• votre préfixe de base de données n’est pas wp_ (celui par défaut), mais wp0k ou wpok(avec zéro ou la lettre O) comme indiqué par @ferman
• vous avez fait la sauvegarde de toute la base de données, c’est bien. Je vous avais conseillé de la faire aussi table par table, mais je vois que vous en avez des dizaines ! Si vous n’avez pas sauvegardé table par table, faites au moins ceci : préparez une nouvelle sauvegarde de base de données, mais décochez toutes les tables, pour ne cocher ensuite que les 12 suivantes (je mets xxxx comme préfixe exemple)
  xxxx_commentmeta
  xxxx_comments
  xxxx_links
  xxxx_options
  xxxx_postmeta
  xxxx_posts
  xxxx_termmeta
  xxxx_terms
  xxxx_term_relationships
  xxxx_term_taxonomy
  xxxx_usermeta
  xxxx_users

Ce sont les 12 tables de base indispensables au fonctionnement de votre site, avec ces contenus.

• la version de PHP se vérifie chez votre hébergeur, dans le cPanel : il y a  « Sélectionner une version PHP » dans l’onglet « Logiciel »
  Vous arrivez sur la page « PHP Selector », et vous avez le numéro de version courante (current en anglais) : si vous êtes en PHP 7.4 ou en PHP 8.0 ou 8.1 ou plus, ne touchez à rien. Par contre, si jamais vous êtes en PHP 7.2 ou 7.3 ou moins, il faut passer en PHP 7.4 → cliquez simplement sur 7.4 et c’est tout.
  Vérifiez juste que dans la liste d’extensions (juste en-dessous), la case « imagick » soit cochée.
• Pour info pour la suite, Filezilla sert pour accéder aux fichiers et dossiers.
  La base de données, et le « moteur » PHP/SQL est accessible via le cPanel

Merci @ferman pour le complément d’infos, j’avais oublié ces 2 points 😉