Blackhat SEO из Google Images Ссылки на Rogue AV

Время чтения: ~ 7 мин.

Вчера некоторые из исследователей угроз и я немного повеселились, играя с хаком, который, по крайней мере, на один день почти полностью уничтожил функцию поиска картинок Google. Один исследователь, случайно наткнувшийся на атаку, обнаружил, что вместо ссылки Google Images на карту Соединенных Штатов перенаправляются несчастные веб-пользователи на страницы, на которых установлен установщик вредоносного антивируса из семейства инструментов безопасности. , мошеннические продукты.

Что нас действительно заинтересовало, так это то, как хак себя вел, в зависимости от используемой операционной системы и браузера. При каждой конфигурации браузера мы обращались к одной из нескольких специально созданных веб-страниц для доставки вредоносных программ.

Я не уверен, когда началась атака, но мы начали анализировать ее примерно в 10 утра по горному времени. К концу дня сайты были отключены, и атака перестала работать.

Чтобы проверить степень взлома, мы поэкспериментировали с результатами поиска, используя пять различных браузеров: Internet Explorer 6 и 8, Safari 5, Google Chrome и Firefox . Все браузеры были настроены с настройками по умолчанию в остальной версии Windows XP SP3. Затем мы искали карту США и щелкнули по второму результату, который появился под заголовком «Изображения для карты США». ( Все результаты, кроме первого изображения , появившегося на этой первой странице результатов, связаны с вредоносным веб-сайтом.)

В Internet Explorer (как версии 6, так и 8) нажатие на изображение карты немедленно вызвало закрытие окна браузера и появление диалогового окна. Текст диалога гласит:

Предупреждение!
На вашем компьютере обнаружен вредоносный код.
Следует сразу же убедиться, что ваша система безопасна! Killing Hazard (R) для Microsoft Windows XP сразу начал работать

Нажатие «ОК» приводит к вашему обычному типичному фавориту Javascript. Откроется окно браузера, и запускается то, что кажется какой-то проверкой на вирусы (но на самом деле это просто сложная анимация). Другое диалоговое окно, состоящее в основном из смешной плохой грамматики, предупреждает пользователя о «Возможной потере важных документов!», А затем предлагает вам загрузить фиктивное средство удаления (имя файла: inst.exe ) после его завершения.

Да, да, видел это раньше, Ядда Ядда Ядда. Непреднамеренный юмор плохой грамматики распространяется даже на строку заголовка браузера, которая гласит: «Подождите минутку! Это важно - мы проверяем ваше устройство », как официантка, которая выгоняет вас за дверь, когда вы выбегаете на проверку. Смешно, но технически не интересно ни в малейшей степени.

Однако, используя Internet Explorer 8, мы перешли на промежуточную страницу в Google, где можно предварительно просмотреть изображение. Тем не менее, обратите внимание, что значение «imgurl» в адресной строке показывает исходное изображение, полученное с www.qsl.net, но Google Images сообщает, что «Веб-сайт для этого изображения» mookhost.com - домен, на котором была размещена страница, которая выполняет перенаправление.

Можно предположить, что организация как искушенный Google на самом деле сможет сказать, что изображение размещено в домене «imgurl», но я полагаю, что это секретный трюк за хитростью, которую используют черные болванчики SEO.

Например, когда вы нажимаете ту же вредоносную ссылку в Google с помощью Firefox, вы попадаете на страницу, которая выглядит следующим образом.

Как ни странно, страница (размещена на update-ff.co.cc ) загружает как таблицу стилей, так и изображения с собственного веб-сервера Mozilla, но заменяет содержимое в центре экрана на оранжевое поле с надписью:

Вы должны обновить Adobe Flash Player прямо сейчас.
Firefox обновлен, но ваша текущая версия Flash Player может вызвать проблемы безопасности и стабильности. Пожалуйста, установите бесплатное обновление как можно скорее.

Разумеется, оба связанных текстовых фрагмента ведут к установщику (который, несмотря на утверждения, что это должно быть обновление Adobe Flash, называет себя ff-update.exe ). Если вы ничего не нажимаете, таймер обратного отсчета истекает и запускает загрузку того же установщика. Каждый раз, когда мы обновляли страницу и загружали файл, мы получали копию того же размера, но с уникальным хешем MD5. Это означает, что что-то на сервере рандомизировало каждый файл по мере его доставки на компьютер.

ОК, стало немного интереснее. Рандомизация на стороне сервера не является чем-то новым, но это обычно не наблюдается у жуликов; Распространители мошенников обычно не прилагают все усилия, чтобы настроить свои веб-серверы с возможностью рандомизации файла полезной нагрузки, потому что сайты в любом случае обычно не остаются в сети очень долго. Хэш-рандомизация - это всего лишь одна из техник, которые плохие парни используют для предотвращения обнаружения настоящими антивирусными продуктами.

Как вы могли знать, что это фальшивая страница, кроме того факта, что посетители фактически не обновляли Firefox в ходе нашего маленького теста? Проверьте этот номер версии на скриншоте веб-страницы. Версия 3.6.7 на одну версию ниже, чем самая новая версия ( 3.6.8 вышла в эфир 23 июля ), но это не та версия Firefox, которую я использовал. На моем тестовом стенде установлен Firefox 2.0. D'о!

Версия измененной страницы, настроенная для Safari, была размещена на fffest.co.cc , Появляется диалоговое окно с надписью «Вы должны установить новую версию флеш-плеера» без пунктуации, использования заглавных букв или использования Определенный артикль ,

Как ни странно, сама страница помещает сообщение, похожее на Internet Explorer, вверху экрана, которое гласит: «Вам необходимо установить компоненты мультимедиа. ActiveX: «Adobe Flash Player» от «Adobe Systems Incorporated». Упс. Я думаю, никто не сказал им, что Safari не использует ActiveX.

А в Chrome вы получаете страницу, которая выглядит практически идентично странице Safari, но вместо всплывающего окна Safari на странице отображается графическое изображение «Ошибка объекта ActiveX Flash», а затем предлагается «установить новую версию Adobe Flash Player». 11, чтобы воспользоваться Web 2.0 ».

Потрясающие. Итак, позвольте мне сказать прямо: в Chrome, который также не использует ActiveX в качестве архитектуры подключаемых модулей, мне нужна версия ActiveX несуществующей будущей версии Flash для просмотра страницы? Эти гении вредоносных программ должны вылезти из машины времени и немного осмотреться.

Кстати, вот как выглядит настоящий диалог обновления Adobe Flash . Если вы используете более старую версию Flash, Adobe начала распространять эти уведомления об обновлениях в июне. Можете ли вы определить разницу между этим и другими?

Помимо того факта, что он дает вам гораздо больше информации, есть небольшая проблема этой кнопки с надписью « Не устанавливать». Вы никогда не найдете это в вредоносном диалоге обновления Flash .

Последняя часть нашего исследования заключалась в том, чтобы возиться с веб-доменом, на который ссылаются все эти результаты поиска. После отправки нескольких десятков запросов на сервер я начал видеть это в окне результатов:

Ого, правда? Это смотрит на маленького старого меня? Не зная, что такое «гуглум», я (естественно) гуглил его, и вот что появилось:

Давайте посмотрим: «Черная империя SEO» - проверьте. Русский язык веб-сайт - проверить. Доменное имя заканчивается на .biz - проверка. Да, звучит примерно так.

Мы тоже будем следить за тобой, qui no sabe .

Похожие

Комментарии