Отруєння пошукової видачі (SEO poisoning) — техніка, за якої зловмисники маніпулюють ранжуванням у пошукових системах, щоб шкідливі сайти опинялися вгорі результатів за популярними або цільовими запитами.
Як працює SEO-отруєння
Замість фішингових розсилок зловмисники чекають, доки жертви прийдуть до них самі. Щоб підняти свої сторінки у видачі, вони застосовують методи «чорного» SEO:
- зламують легітимні сайти, часто із застарілим WordPress, і додають приховані сторінки, напхані ключовими словами;
- створюють великі мережі посилань і спам-сторінок, що ведуть на шкідливий ресурс;
- націлюються на запити про безкоштовні програми, «зламані» інструменти, шаблони документів чи гучні новини;
- використовують клоакінг — показують пошуковим роботам нешкідливий вміст, а реальним відвідувачам шкідливу версію.
У MITRE ATT&CK техніка значиться як T1608.006. Її часто поєднують з малвертайзингом, коли злочинці не просувають сторінки органічно, а купують пошукову рекламу.
Чому це важливо
Користувачі довіряють результатам пошуку, тому отруєні сторінки отримують високий відсоток переходів, а поштові фільтри тут не заважають. Відомий приклад — кампанії Gootloader: на зламаних сайтах розміщували підроблені сторінки форумів із відповідями на запити на кшталт шаблонів юридичних договорів, а жертва завантажувала ZIP-архів із JavaScript-файлом, який установлював завантажувач шкідливого ПЗ, що відкривав шлях програмам-вимагачам та іншим вторгненням. Схожі операції поширюють інфостилери під виглядом популярних програм і полюють на системних адміністраторів, які шукають утиліти на кшталт засобів віддаленого керування.
Як захиститися
- Завантажувати програми лише з офіційних сайтів виробників або з корпоративних репозиторіїв.
- Насторожено ставитися до результатів пошуку, що ведуть на дописи форумів із посиланнями на завантаження чи неочікувані архіви.
- Блокувати запуск завантажених скриптів .js і .vbs та використовувати вебфільтрацію.
- Вчасно оновлювати власну CMS і плагіни, щоб ваш сайт не став майданчиком для отруєних сторінок.
