Malware ukrywa się przed wyszukiwarkami
Coraz częściej cyberprzestępcy starają się umieszczać malware na zdyskredytowanych stronach WWW w taki sposób, aby był on nie do wykrycia dla operatorów takich wyszukiwarek jak Yahoo! i Google.
Chodzi o to, by na przykład przeglądarki korzystające z narzędzia Safe Browsing API koncernu Google nie wszczynały alarmu podczas wywoływania niebezpiecznych witryn. Interfejs ten pozwala aplikacjom klienckim na weryfikację otwieranych stron z przygotowaną przez Google'a czarną listą phishingu i malware'u. Między innymi Firefox i Chrome używają już Safe Browsing API. Na ich potrzeby Google przeczesuje strony internetowe w poszukiwaniu podejrzanego kodu.
Jeśli bot wyszukiwarki Google natrafi na spreparowaną witrynę, ta dostarczy po prostu nieszkodliwy kod. To, czy dane wywołanie pochodzi z Google'a, aplikacja WWW rozpoznaje między innymi po adresie IP oraz nagłówku User Agent (googlebot, yahoo). W ten sposób zmanipulowana witryna zataja również opcjonalne przekierowania na inne strony. Aby to było możliwe, wystarczy dodać do zawirusowanej aplikacji webowej na bazie PHP kilka linii kodu. Niektórzy oszuści umieszczają też w takich witrynach specjalne oprogramowanie blogowe.
Tego rodzaju przeglądarkowe sztuczki nie są nowe, aczkolwiek programiści stosują je obecnie raczej w celu dostarczenia do Internet Explorera i Firefoksa rozmaitego kodu na podstawie różnych funkcji. Jak informuje w blogu Brian Krebs, Google potwierdził, że przestępcy posługują się takimi trikami. Niels Provos z Google'a dodaje nawet, że szkodliwy kod zostaje podstawiony internautom często tylko wtedy, gdy poprowadzi ich do niego odnośnik z wyników strony wyszukiwania. Według niego Google przedsięwziął działania przeciwko tego typu manipulacjom, ale szczegółów nie chciał ujawnić z uwagi na dobro walki z oszustami.
wydanie internetowe www.heise-online.pl
