De citeva zile au aparut discutii in forumurile comunitatilor de webmasteri, legate de spamarea indexului Google cu pagini localizate in China (Google SERPs infected by millions of spam sites), pe data de 24 Septembrie PC Magazine publica ‘Sabotaging Google‘ aducind in atentia utilizatorilor de internet ceea ce se intimpla.
Mergind pe urma acestor comentarii din forumuri si ale stirilor publicate am incercat sa imi fac o idee despre cum functioneaza si a fost posibil acest atac.
Pasul 1: Folosind termenii ‘reset mp3 player m240d’ (apar in articolul PC Magazine) am obtinut o lista de situri cu nume obscure si terminatia .cn:
Din dorinta de a merge mai departe si cu riscul de a imi aduaga la windows o noua aplicatie (nedorita) am dat click pe, primul link (ffc.v3avpow.cn) din lista de situri ‘chinezesti’:
Momentan nimic, nici un virus, nici pop-up-ri, cit de cit curat, doar citeva linkuri criptate (ex.: http://sezop.com/click.php?u=aHR0cDovLzY3LjE1LjIzOS4..)
Trec mai departe cu analiza mea, oare ce se intimpla daca intru pe acel link fara a avea ca referer Google? Let’s see:
Smart, vor sa creeze impresia ca acel site a fost sters, blocat etc. (probabil dupa toata ‘publicitatea’ facuta).
De adaugat, acelasi lucru se intimpla si in cazul in care este urmat linkul din rezultatele intoarse la cautare iar browserul are User Agentul schimbat, in cazul de fata folosind
Firefox a fost destul de simplu,pluginul
User Agent Switcher si stringul Googlebot/2.1 (+http://www.googlebot.com/bot.html), au fost de un real folos pentru a identifica comportamentul scriptului/htaccesului instalat pe site, concluzia intregul sistem a fost concentrat asupra rezultatelor Google, nu MSN sau Yahoo.Articolul din PC Magazine ne mai ofera totusi citeva informatii suplimentare : http://vmk.wtoxd.cn/xmijotb.html.
Pasul 2: Oare ce contine pagina respectiva? Cuvine, mii (aproximativ 5-6 mii) de cuvinte fara nici o legatura, dar care fac
posibila indexarea paginii si returnarea de rezultate in cautarile efectuate folosind google.
Pe linga toate acele mii de cuvinte cheie mai exista insa un element in pagina:
Cool, sa vedem ce stiu ‘China boys’ sa faca cu javascriptul:
exgo=’ht’ + ‘t’ + ‘p://’ + ‘mysta’ + ‘ts.name/in.ph’ +’p?id=2&ul=1&ref_s=’+encodeURIComponent(document.referrer)+’&ref_d=’+
encodeURIComponent(document.URL); document.write(’click here‘);window.open(”", “_self”); document.getElementById(”xyz”).click();
se pare ca nu prea multe, dupa parerea lor aceasta ar trebui sa impidice un vizitator nedorit sa inteleaga ce se intimpla
in aceasta portiune de cod…halal codare, http://mystats.name/in.php?id=2&ul=1&ref_s=, oricum, estential este
domeniul accesat si scriptul, mystats.name ne ofera o superba pagina default,
bun, sa vedem ce ne ofera scriptul, http://mystats.name/in.php?id=, un redirect, catre o pagina goala…not good,
probabil ca nu ii place sa primeasca un parametru gol, incercam http://mystats.name/in.php?id=2, obtinem o pagina care are si continut (lucky me: http://www.tastesdiffer.com/ un site de, dating sau asta se dorea probabil la inceput).
Concluzia, oamenii isi monitorizeaza traficul…probabil, acum sa aflam cite ceva si despre localizarea acestor domenii, oare sunt ele hostate in China sau nu?
Pasul 3: Localizarea serverului de monitorizarea traficului:
mystats.name - 205.177.122.130 - USA, Beyond The Network America, Inc. (btnaccess.com)
Localizarea domeniilor folosite la spamarea indexului:
vmk.wtoxd.cn - 89.149.243.226 - Frankfurt,Germany - netdirekt e.K. (netdirekt.de)
ffc.v3avpow.cn - 195.244.128.244 - Riga, Lituania (izzi.lv)
875.0knxm.cn - 195.244.128.241 - Riga, Lituania (izzi.lv)
Finalul, majoritatea isi pun probabil inca intrebarea cum a fost posibil totusi acesta atac, destul de usor, utilizarea cuvintelor cheie in cantitati mari, inregistrarea automata a domeniilor (sper ca toata lumea a fost lamurita cum de au siturile nume atit de obscure) si numarul lor mare, ajutorul Google si pozitionarea in primele rezultate (Google da in general un imbold siturilor aflate la inceput, timp de 1-2 luni acestea regasinduse in pozitii fruntase). Momentan oficial din partea Google nu a fost
facut nici un anunt, este foarte posibil ca aceste pagini sa dispara cit de curind, insa nu se stie care si sub ce forma va avea loc urmatorul atac…pentru moment multe domenii au fost afectate de aceasta promovare a paginilor hostate in domenii .cn,
sper ca situatia sa se remedieze cit de curind, ca utilizator normal caut sa gasesc strict ce ma intereseaza, nu tone de spam, cuvinte cheie fara nici un folos sau alte motoare de cautare facute strict pentru a promova diverse BS-turi. Nu recomand urmarea acestor pasi facuti de mine fara un antivirus updatat la zi, un browser safe (cit se poate) fi foarte foarte multa atentie la mesajele sau pop-up-rile care apar (in special cele legate de ActiveX).
