Fałszywe wyniki Google rozsiewają złośliwe oprogramowanie

Wyobraź sobie, że szukasz w Google darmowego edytora PDF albo programu do wystawiania faktur. Klikasz pierwszy wynik, strona wygląda dokładnie tak jak powinna, pobierasz plik i instalujesz. Tyle że razem z programem zainstalowałeś właśnie złośliwe oprogramowanie (czyli malware), które w tle kradnie wszystkie hasła, pliki firmowe i dane logowania do kont. Tak właśnie działa SEO poisoning — technika, w której przestępcy celowo wypozycjonowują (czyli wywindowują w wynikach Google) fałszywe strony ponad oficjalne witryny producentów. Badacze bezpieczeństwa z EclecticIQ opisali właśnie aktywną kampanię, która pokazuje, jak działa ten mechanizm krok po kroku.

Na czym polega SEO poisoning i jak wygląda atak

SEO poisoning (zatruwanie wyników wyszukiwania) to sytuacja, gdy strona przestępców pojawia się wyżej w Google niż oficjalna strona producenta. Użytkownik widzi ją jako pierwszy wynik i ma powody ufać, że to właśnie to, czego szuka.

Badacze z EclecticIQ opisali kampanię wymierzoną w pobieranie narzędzi programistycznych — ale mechanizm jest identyczny dla każdego szukanego programu. Fałszywa strona wygląda jak oryginalna co do piksela. Jedyna różnica leży w adresie URL: przestępcy stosują technikę zwaną typosquattingiem, czyli rejestrują domeny z celowo wprowadzonymi literówkami. Może to być zamieniona litera, dodana cyfra albo inna końcówka domeny — coś, co przy szybkim spojrzeniu łatwo przeoczyć.

Gdy pobierasz plik ze spreparowanej strony i uruchamiasz wskazane polecenie, skrypt wykonuje równolegle dwie rzeczy. Pierwsza: instaluje prawdziwy program z oficjalnych źródeł, wyświetlając przy tym pełne komunikaty o postępie — żebyś niczego nie podejrzewał. Druga: w ukrytym oknie uruchamia złośliwy kod bezpośrednio w pamięci komputera (RAM), który natychmiast przystępuje do kradzieży danych.

Widzę coraz więcej kampanii, które nie są skierowane wyłącznie w programistów czy specjalistów IT — trafiają w każdego, kto szuka w Google zwykłego programu. Właściciel małej firmy szukający edytora PDF albo aplikacji do faktur jest równie łatwym celem, jak deweloper szukający narzędzia deweloperskiego. Mechanizm jest identyczny, a zabezpieczenie proste: zanim cokolwiek pobierzesz, przeczytaj adres URL dwa razy.

Marcin Grochala, Web Developer & SEO Specialist

Co złośliwe oprogramowanie kradnie z firmowego komputera

Czas działania złośliwego oprogramowania jest krótki, ale zakres szkód — poważny. Malware uruchamia się w pamięci RAM i od razu przystępuje do zbierania danych.

Z opisanej przez EclecticIQ kampanii wynika, że złośliwy program celuje w kilka kategorii danych naraz:

• dane przeglądarek — ciasteczka sesyjne (czyli tokeny, które utrzymują Cię zalogowanym bez hasła) oraz dane autouzupełniania formularzy,
• pliki sesyjne firmowych komunikatorów — Slack, Microsoft Teams, Discord, Zoom,
• dane do logowania w narzędziach zdalnego dostępu — WinSCP, PuTTY, konfiguracja OpenVPN,
• prywatne pliki użytkownika — dokumenty .txt, .docx, .pdf,
• portfele kryptowalutowe.

Zebrane dane trafiają na serwery kontrolowane przez przestępców. Co istotne: złośliwy program uruchamia się wyłącznie w pamięci RAM, więc restart komputera usuwa go z urządzenia. Problem w tym, że kradzież danych następuje błyskawicznie — zanim do restartu dojdziesz, dane już mogą być u przestępców.

Szczególnie niepokojący jest jeden szczegół: opisany skrypt aktywnie wyłącza mechanizmy bezpieczeństwa systemu Windows. Modyfikuje narzędzie do rejestrowania zdarzeń (Event Tracing for Windows) tak, żeby przestało notować aktywność w terminalu, a także obchodzi Antimalware Scan Interface — funkcję, która pozwala antywirusowi analizować kod uruchamiany na bieżąco. W praktyce oznacza to, że wbudowany antywirus może niczego nie wykryć.

Jak się chronić — konkretne kroki dla właściciela firmy

Dobra wiadomość jest taka, że ochrona przed tym atakiem nie wymaga specjalistycznej wiedzy technicznej. Wystarczą trzy nawyki.

Sprawdzaj adres URL przed pobraniem. Zanim klikniesz „pobierz", przeczytaj dokładnie adres w pasku przeglądarki. Porównaj go z oficjalną stroną producenta, którą możesz znaleźć np. w Wikipedii lub w dokumentacji programu. Fałszywe strony często wyglądają identycznie — różnią się tylko adresem. Według badaczy z EclecticIQ, adblock ani inne wtyczki antyreklamowe nie chronią przed tym zagrożeniem, bo fałszywe strony pojawiają się w normalnych wynikach wyszukiwania, nie jako reklamy.

Weryfikuj pliki na VirusTotal przed uruchomieniem. VirusTotal (virustotal.com) to bezpłatna usługa, która sprawdza plik kilkudziesięcioma silnikami antywirusowymi naraz. Zajmuje to chwilę, a może uchronić przed poważnymi konsekwencjami. Wrzuć tam każdy plik, co do którego masz nawet najmniejsze wątpliwości.

Szukaj programów bezpośrednio na stronie producenta. Zamiast wpisywać w Google „darmowy edytor PDF" i klikać pierwszy wynik, wejdź bezpośrednio na stronę producenta programu, który chcesz pobrać. To jeden krok więcej, ale eliminuje ryzyko trafienia na zatrutą stronę.

Jeśli zależy Ci na tym, żeby Twoja własna strona internetowa była wiarygodna i bezpieczna — zarówno dla klientów, jak i dla Ciebie jako właściciela — zapoznaj się z tym, co oferuję w ramach tworzenia stron www. Bezpieczeństwo zaczyna się od solidnych fundamentów.

Więcej technicznych szczegółów opisanej kampanii znajdziesz w raporcie Sekuraka.