Вкратце: веб-приложение с высоким рейтингом для распространения историй о неверности является бенефициаром сложной глобальной кампании по поисковой оптимизации (SEO), по словам главного исследователя безопасности Akamai Ор Каца . (Читать больше историй или здесь .)

Кампании по поисковой оптимизации (SEO) - это распространенные и законные способы продвижения веб-приложений с целью улучшения видимости и увеличения трафика вашего веб-приложения. Но что происходит, когда кампания SEO пересекает черту в темную сторону и становится вредоносной?

Недавно группа исследователей угроз Akamai обнаружила очень сложную кампанию SEO-атак, которая продвигала рейтинг результатов поиска для веб-приложения, позволяющего пользователям делиться своими историями о мошенничестве и неверности.

[Читать Более подробная информация об атаках типа SEO в журнале безопасности .]

Сложность этой атакующей кампании заключалась в удалении сотен веб-приложений через Интернет путем злоупотребления уязвимыми веб-серверами Windows и внедрения HTML-ссылок с использованием метода SQL-инъекции. Внедряя ссылочные ссылки между испорченными приложениями в приложение «читерских историй», злоумышленники пытались имитировать нормальное распространение контента через Интернет. Как только внедренный контент размещен, злоумышленник рассчитывает на сканирование, которое выполняют поисковые системы, чтобы определить, какие результаты должны быть наилучшими для любых заданных ключевых слов. В результате рейтинг приложения «читерские истории» будет рассчитываться исходя из качества и количества этих ссылок.

В этой статье раскрываются подробности и результаты целевой SEO-атаки, в том числе конечный результат: приложение «читерские истории» высоко оценивается ведущими поисковыми системами.

Анатомия Атаки

Анализируя данные интернет-трафика на Интеллектуальная платформа Akamai в течение одного месяца группа по исследованию угроз смогла обнаружить две недели активности распределенных атак, когда злоумышленники атаковали более 3500 веб-приложений Windows Servers.

В этой атаке злоумышленники попытались внедрить вредоносный контент в базы данных веб-приложений, отправив полезные нагрузки SQL-инъекций, содержащие ссылки HTML. Чтобы выполнить эту кампанию и скрыть свою личность, злоумышленники использовали бот-сеть с более чем 300 IP-адресами со всего мира.

В этом случае целью атаки было просто привлечь трафик к рассматриваемому приложению. Таким образом, результат успешной атаки привел к порче веб-приложения по ссылкам. Но он мог легко внедрить вредоносный код javascript, предназначенный для пользователей веб-приложений или даже утечки конфиденциального содержимого базы данных.

Почему атака сработала

Поисковые системы учитывают множество факторов для определения рейтинга результатов поиска. Например: количество ссылок, перенаправляющих на веб-приложение, и репутация ссылающихся ссылок (или веб-приложений) влияет на рейтинг рассматриваемого сайта. Это основа для «Page Rank», исходные мозги позади поисковой системы Google. Но хотя большинство элементов, влияющих на рейтинг страницы, хорошо известны, точный рецепт - или сочетание этих факторов в формуле ранжирования в поисковых системах - остается большой загадкой.

В этом случае злоумышленники использовали ряд методов поисковой оптимизации, имитирующих интернет-контент, и следили за тем, чтобы поисковые системы правильно его учитывали. Они включают:

+ Перенаправление цепочки ссылок: злоумышленник создал цепочку внешних ссылок, ведущих к веб-приложению «читерских историй».

Первая связная ссылка была создана в результате атаки ботнета с использованием SQL-инъекции, которая вставляла ссылки HTML в максимально возможное количество веб-приложений через Интернет. Во всей кампании атаки использовались десятки ссылающихся ссылок на веб-приложения - ни одно из которых не является веб-приложением «читерских историй». Вторая связная ссылка была из тех десятков веб-приложений, которые содержат контекстно-зависимые HTML-страницы, к цели кампании SEO, которая является веб-приложением «читерских историй».

Хотя доказательств этого не было, ожидается, что десятки веб-приложений также стали жертвами порчи. Предполагается, что связывание ссылок сделано для того, чтобы имитировать нормальное распространение контента через Интернет таким образом, чтобы поисковые системы воспринимали его как законный контент.

+ Контекстная осведомленность: поскольку веб-приложение, продвигаемое с помощью «мошеннического» бизнеса, мы видим текст привязки ссылки, текст, используемый в гиперссылке, контент и комментарии, в которых используются такие слова, как: муж, чит, дела, женщины и т. Д. Такое использование ключевых слов тесно связано с тем, как алгоритмы поисковых систем выполняют свою работу и отображают ключевые слова на соответствующих страницах. Рисунок 2: Пример содержимого страницы второй ссылки в цепочке, приводящей к «читерским историям». Исследования также показали, что злоумышленники создавали контент, который подчеркивал соответствующий контекст, внедряя значимый контент в бессмысленный контент (как видно на рисунке ниже). ,

Посмертный анализ

В рамках посмертного анализа атаки были выявлены следующие результаты:

• Свидетельство массовой порчи - при поиске в Интернете ссылок HTML, которые использовались в рамках этой кампании, сотни веб-приложений содержали вредоносные ссылки.
• Ведущие поисковые системы - при поиске комбинации общих слов, таких как «чит» и «история», было очевидно, что приложение «читерские истории» появилось на первой возвращаемой странице ведущих поисковых систем.
• Аналитика веб-приложений - если посмотреть на аналитику Alexa, рейтинг приложения «читерские истории» за последние три месяца значительно вырос

Эта кампания иллюстрирует уровень сложности, который злоумышленники используют для продвижения веб-приложений, включая такие вредоносные методы, как: внедрение SQL-кода, атаки с использованием распределенных ботнетов, атаки на фальсификацию и поисковую оптимизацию (SEO). Злоумышленники продемонстрировали глубокое понимание алгоритмов поисковых систем, имитирующих нормальное распространение контента через Интернет. Результат этой атакующей кампании очевиден: ведущие поисковые системы высоко ценят веб-приложение «Обманные истории».

Выводы:

Экономика поисковой системы построена на концепции видимости и доступа к интернет-контенту. Проще говоря: высокий рейтинг в поисковых системах может привести к значительному доходу. Чтобы смягчить уязвимое веб-приложение, Akamai рекомендует исправить уязвимость и использовать брандмауэр веб-приложений (WAF) для защиты от настоящих и будущих атак SQL-инъекций.

Обнаружение высоко масштабных распределенных атак через Интернет намного проще, когда выполняется в облачной сети. Знание таких кампаний атаки может быть использовано в качестве действенной информации для улучшения смягчения последствий для будущих кампаний атаки.

Распространить слово!

связанные с

Похожие

Комментарии