pharma hack

Pharma hack to rodzaj SEO spamu, w którym atakujący umieszcza na cudzej stronie treści i linki mające podnieść pozycję w wyszukiwarce sklepów z lekami, takimi jak Viagra, Cialis czy Xanax ^[3]. Pokrewną odmianą jest Japanese keyword hack: automatycznie generowany tekst po japońsku z linkami partnerskimi do sklepów z podróbkami markowych towarów ^[2]. Obie infekcje często ukrywają się przed właścicielem strony. Google zalicza takie treści do kategorii „hacked content”, czyli treści umieszczonych na stronie bez zgody właściciela dzięki lukom w jej zabezpieczeniach ^[1].

Jak działa

Celem ataku jest przede wszystkim pozycja stron atakującego w wyszukiwarce, a przejęta witryna służy jako nośnik linków i słów kluczowych ^[3]. Google definiuje link spam jako tworzenie linków głównie w celu manipulowania rankingiem ^[1].

Kluczową techniką jest cloaking, czyli pokazywanie innej treści użytkownikom, a innej wyszukiwarkom, żeby manipulować rankingiem i wprowadzać użytkowników w błąd ^[1]. Google podaje wprost dwa przykłady: strona o podróżach pokazywana wyszukiwarce, a strona o tanich lekach użytkownikom, oraz wstawianie tekstu i słów kluczowych tylko wtedy, gdy stronę pobiera robot wyszukiwarki ^[1]. Na przejętych stronach ten sam mechanizm służy ukryciu infekcji przed właścicielem. Przy Japanese keyword hack administrator widzi prawidłowe strony, a robot Google pod tymi samymi adresami dostaje japoński spam ^[4].

Rozdzielenie odpowiedzi według odwiedzającego pokazuje schemat poniżej.

RYS. 1Cloaking na przejętej stronie

Odmiany

Google wyróżnia trzy sposoby umieszczania takich treści: dodawanie nowych stron, wstrzykiwanie kodu do istniejących stron oraz subtelne zmiany istniejących stron, na przykład ukryte linki albo tekst dodane przez CSS lub HTML ^[1].

CERT Polska opisuje ten sam mechanizm po polsku: modyfikacja strony polega między innymi na umieszczeniu ukrytych linków do stron atakujących albo słów kluczowych ^[5].

W WordPressie

Patchstack opisuje typową infekcję pharma hack w WordPressie w trzech etapach ^[3]:

1. Tylna furtka. Atakujący wgrywa plik z długim zakodowanym ciągiem uruchamianym przez eval(), często do wp-content/uploads/ albo katalogów w wp-includes/ ^[3]. To tylna furtka (backdoor), często w postaci webshella.
2. Pliki w katalogach wtyczek. Tylna furtka zostawia kolejne pliki o nazwach udających pliki prawdziwych wtyczek ^[3].
3. Baza danych. Atakujący dopisuje rekordy do tabeli wp_options i może utworzyć nieautoryzowane konto administratora ^[3].

Przy Japanese keyword hack złośliwy kod może siedzieć w plikach rdzenia, wtyczek i motywów, w pliku .htaccess, a spamowe strony w tabeli wp_posts ^[4]. MalCare wymienia jako znaki ostrzegawcze w kodzie funkcje eval, base64_decode, gzinflate i preg_replace ^[4], typowe dla zaciemniania kodu. Drogą wejścia bywa podatność we wtyczce albo piracka wtyczka (nulled) z dołączoną tylną furtką.

Zagrożenia i skutki

Najbardziej widocznym skutkiem jest spam w wynikach wyszukiwania pod nazwą firmy. Strona z Japanese keyword hack może mieć setki albo tysiące dodatkowych podstron, a jej pozycje w wynikach organicznych spadają ^[4]. Przy tym ataku napastnik zwykle dopisuje się jako właściciel usługi w Search Console, by zmieniać ustawienia takie jak kierowanie geograficzne czy mapy witryny ^[2].

Inne skutki:

• Złośliwe przekierowania odwiedzających na strony ze spamem ^[4].
• Oznaczenie strony jako zhakowanej i wpis na czarną listę (blacklisting); Search Console pokazuje takie strony w raporcie problemów z bezpieczeństwem ^[2].
• Trwała obecność atakującego, bo tylna furtka zostaje, nawet gdy spamowe strony znikną.

Jak się bronić

Wykrywanie. Operator site: w wyszukiwarce Google pokazuje zaindeksowane strony witryny, a narzędzie do sprawdzania adresów URL w Search Console pokazuje treść, którą widzi robot ^[2]. Patchstack proponuje wyszukiwanie adresu strony razem z nazwami leków ^[3].

site:example.com viagra
site:example.com cialis

Sprzątanie. Według web.dev trzeba usunąć nieuprawnionych użytkowników z weryfikacji w Search Console, sprawdzić reguły przepisywania w .htaccess i szukać zaciemnionego kodu z base64_decode lub eval ^[2]. Samo ukrycie adresów narzędziem do usuwania URL nie wystarcza; trzeba usunąć zainfekowane pliki i zamknąć lukę ^[2]. Patchstack zaleca usunięcie tylnych furtek, ponowną instalację wtyczek, rdzenia i motywów, zmianę wszystkich haseł i prośbę o ponowne zaindeksowanie strony ^[3]. Całość opisuje hasło czyszczenie przejętej strony.

Warto też sprawdzić mapy witryny zgłoszone w Search Console. MalCare opisuje, że atakujący tworzą nowe mapy witryny ze stronami spamu, by przyspieszyć ich indeksowanie ^[4]. CERT Polska dopuszcza przywrócenie strony z kopii zapasowej (backup) sprzed incydentu, ale dopiero wtedy, gdy udało się jednoznacznie ustalić wektor i czas infekcji ^[5]. Bez tego kopia może już zawierać tylną furtkę, a przywrócona strona zostanie zainfekowana ponownie tą samą drogą.

Zapobieganie. Web.dev zaleca aktualny CMS, wtyczki i motywy, regularną zmianę haseł do hostingu, FTP i kont administracyjnych oraz uwierzytelnianie dwuskładnikowe (2FA) ^[2]. CERT Polska również zaleca utrzymywanie aktualnych wersji CMS, wtyczek i motywów, a po infekcji zmianę wszystkich haseł i kluczy ^[5]. Nowe pliki PHP w katalogach przesyłanych plików wychwyci monitorowanie integralności plików.