Le laboSupprimer tous les fichiers "dist" du site :
rm -rf plugins-dist/ prive/ ecrire/ squelettes-dist/ local/ tmp/ vendor/
Le dossier plugins pourraient aussi être supprimé après avoir noté les plugins actifs sur le site (voir le fichier local/config.txt pour les réinstaller une fois le nettoyage terminé.
Vérifier le contenu des fichiers PHP à la racine : index.php & spip.php.
Si d’autres fichiers PHP sont présents à la racine, les analyser aussi.
Réinstaller SPIP à l’aide de spip_loader.
Vérifier le contenu des fichiers des répertoires racines non supprimés : config, lib, IMG & plugins. Quelques commandes utiles pour cela :
# lister les fichiers PHP qui contiennent base64 (souvent utilisée par les rootkits)
grep -lr --include=*.php "base64" .
# plus verbeux, cherches toutes les occurrences de base64
rgrep base64
# chercher les fichiers PHP dans le répertoire IMG/
find IMG/ -iname "*.php"