Отравление поисковой выдачи (SEO poisoning) — техника, при которой злоумышленники манипулируют ранжированием в поисковых системах, чтобы вредоносные сайты оказывались в топе по популярным или целевым запросам.
Как работает SEO-отравление
Вместо фишинговых рассылок атакующие ждут, пока жертвы придут к ним сами. Чтобы поднять свои страницы в выдаче, они применяют методы «чёрного» SEO:
- взламывают легитимные сайты, часто с устаревшим WordPress, и добавляют скрытые страницы, напичканные ключевыми словами;
- создают крупные сети ссылок и спам-страниц, ведущих на вредоносный ресурс;
- нацеливаются на запросы о бесплатных программах, «крякнутых» инструментах, шаблонах документов или громких новостях;
- используют клоакинг — показывают поисковым роботам безобидный контент, а реальным посетителям вредоносную версию.
В MITRE ATT&CK техника значится как T1608.006. Её часто сочетают с малвертайзингом, когда преступники не продвигают страницы органически, а покупают поисковую рекламу.
Почему это важно
Пользователи доверяют результатам поиска, поэтому отравленные страницы получают высокий процент переходов, а почтовые фильтры здесь не мешают. Известный пример — кампании Gootloader: на взломанных сайтах размещались поддельные страницы форумов с ответами на запросы вроде шаблонов юридических договоров, а жертва скачивала ZIP-архив с JavaScript-файлом, который устанавливал загрузчик вредоносного ПО, ведущий к программам-вымогателям и другим вторжениям. Похожие операции распространяют инфостилеры под видом популярных программ и охотятся на системных администраторов, ищущих утилиты вроде средств удалённого управления.
Как защититься
- Скачивать программы только с официальных сайтов производителей или из корпоративных репозиториев.
- Настороженно относиться к результатам поиска, ведущим на посты форумов со ссылками на загрузку или неожиданные архивы.
- Блокировать запуск скачанных скриптов .js и .vbs и использовать веб-фильтрацию.
- Своевременно обновлять собственную CMS и плагины, чтобы ваш сайт не стал площадкой для отравленных страниц.
