SEO spam

SEO spam (Search Engine Optimization Spam) to według CERT Polska technika manipulacji wynikami wyszukiwarek w celu promowania szkodliwych treści, najczęściej hazardu ^[1]. W praktyce atakujący dopisuje do cudzej, przejętej strony ukryte linki do swoich serwisów albo słowa kluczowe pozycjonujące ich działalność ^[1]. Korzysta przy tym z zaufania, jakie wyszukiwarka ma do starej, dobrze ocenianej domeny. Właściciel strony zwykle niczego nie widzi, bo spam jest przeznaczony dla robota wyszukiwarki.

Jak działa

Google definiuje treść włamaniową (hacked content) jako każdą treść umieszczoną na stronie bez zgody właściciela z powodu luk w jej zabezpieczeniach ^[2]. SEO spam to najczęstszy sposób zarabiania na takim włamaniu. Atakujący potrzebuje najpierw dostępu do plików albo bazy, na przykład przez webshell lub przejęte konto administratora.

Aby spam przetrwał jak najdłużej, strona pokazuje różną treść różnym odbiorcom. Google nazywa to maskowaniem (cloaking): prezentowaniem innej treści użytkownikom i wyszukiwarkom w celu manipulacji pozycjami i wprowadzenia użytkowników w błąd ^[2]. Poradnik web.dev opisuje, że atakujący w ten sposób próbują przekonać właściciela, że strona jest już naprawiona, choć nadal jest zainfekowana ^[4]. Schemat poniżej pokazuje typowy przebieg.

RYS. 1Maskowanie SEO spamu

Odmiany

Raport problemów z bezpieczeństwem w Google Search Console rozróżnia kilka rodzajów włamań ^[3]. Zasady antyspamowe Google opisują techniki, którymi posługuje się SEO spam ^[2].

Wersja z lekami ma własne hasło: pharma hack. Znanym przykładem wstrzyknięcia adresów jest tak zwany japoński hack słów kluczowych: tworzy nowe strony z automatycznie wygenerowanym tekstem po japońsku w katalogach o losowych nazwach ^[4]. Strony te zawierają linki partnerskie do sklepów z podróbkami ^[4].

W WordPressie

W WordPressie spam trafia najczęściej w trzy miejsca: do bazy danych (treść wpisów, opcje, dodatkowe tabele), do plików motywu i wtyczek albo do pliku .htaccess. Punktem wejścia bywa podatność we wtyczce lub nieautoryzowane konto administratora. Kod wybierający treść dla robota zwykle jest poddany zaciemnianiu; web.dev zaleca szukać podejrzanych plików PHP z wywołaniami base64_decode i eval ^[4].

Poradnik web.dev dotyczący japońskiego hacka zaleca kilka kroków porządkowych ^[4]:

• usunięcie nieuprawnionych właścicieli usługi w Search Console, bo atakujący często dodają tam siebie;
• zastąpienie zmienionego pliku .htaccess czystą wersją, zob. zabezpieczenia w .htaccess;
• ponowna instalacja plików rdzenia CMS;
• usunięcie plików z zaciemnionym kodem.

Przy szukaniu spamu warto przejrzeć kilka miejsc naraz. W bazie są to treści wpisów i stron, tabela opcji oraz wpisy, których nikt z redakcji nie tworzył. W plikach są to functions.php motywu, katalog mu-plugins, który WordPress ładuje automatycznie, oraz nowe pliki PHP w katalogu przesłanych plików. Na liście użytkowników należy sprawdzić konta administratorów założone w czasie infekcji. Sam spam można usunąć w kilka minut, ale jeśli pozostanie mechanizm, który go dopisuje, wróci po kolejnym odświeżeniu pamięci podręcznej lub przy następnej wizycie robota.

Od SEO spamu należy odróżnić spam w komentarzach. Ten drugi nie wymaga włamania: to wpisy dodawane przez zwykły formularz komentarzy.

Zagrożenia i skutki

Zasady Google przewidują, że strony naruszające zasady antyspamowe mogą zajmować niższe pozycje albo w ogóle nie pojawiać się w wynikach ^[2]. Dla właściciela oznacza to utratę ruchu, choć to nie on rozsyłał spam. Użytkownicy trafiający na złośliwe przekierowania kojarzą markę z hazardem lub oszustwem. Zainfekowana strona może też trafić na listę ostrzeżeń przed niebezpiecznymi stronami lub do Safe Browsing, a w wynikach wyszukiwania może pojawić się dopisek z hasła Ta witryna mogła paść ofiarą ataku hakerów.

Spam jest też wskaźnikiem kompromitacji (IoC). Skoro atakujący mógł zmienić treść strony, mógł też zostawić tylną furtkę albo odczytać dane.

Jak się bronić

Pierwszym krokiem jest wykrycie. Web.dev radzi sprawdzać wyniki zapytania site: z nazwą domeny w kilku wyszukiwarkach i używać narzędzia do sprawdzania adresów URL w Search Console, które pokazuje treść ukrytą przez maskowanie ^[4]. Monitorowanie integralności plików pozwala zauważyć zmiany w motywie i .htaccess.

Czyszczenie przejętej strony musi objąć przyczynę, a nie tylko widoczny spam. CERT Polska zaleca utrzymywanie aktualnych wersji CMS, wtyczek i motywów ^[1] oraz zmianę wszystkich haseł i kluczy, do których atakujący mógł mieć dostęp ^[1]. Po usunięciu problemu Google zaleca złożyć prośbę o sprawdzenie w raporcie problemów z bezpieczeństwem; sprawdzenie może trwać od kilku dni do kilku tygodni ^[3].

Historia i przykłady

SEO spam nie zawsze wymaga włamania do plików. W marcu 2023 roku Niebezpiecznik opisał wyniki wyszukiwania, w których adresy stron m.in. NFZ i Polskiego Centrum Akredytacji prowadziły do serwisów dla dorosłych ^[5]. Przyczyną był skrypt przekierowań redir.php w systemie Edito CMS, który przyjmował dowolny adres docelowy, czyli open redirect ^[5]. Według redakcji celem atakujących było „spozycjonowanie” tych serwisów w wyszukiwarkach, a SEO-spamerzy często korzystają z takich otwartych przekierowań ^[5].