wpis na czarną listę (blacklisting)

Wpis na czarną listę (blacklisting) to oznaczenie domeny albo adresu jako niebezpiecznego na liście, z której korzystają przeglądarki, wyszukiwarki, operatorzy sieci lub filtry poczty. Skutkiem jest ostrzeżenie przed wejściem na stronę, etykieta w wynikach wyszukiwania albo odrzucenie poczty z odnośnikiem do domeny. Najbardziej znaną taką listę prowadzi Google w usłudze Safe Browsing, którą aplikacje klienckie odpytują o adresy URL ^[1]. Dla właściciela strony wpis zwykle oznacza, że witryna została przejęta albo rozprowadza cudzą szkodliwą treść.

Jak działa

Listy powstają z automatycznego skanowania i ze zgłoszeń. Google opisuje Safe Browsing jako stale aktualizowane listy niebezpiecznych zasobów sieci, w których wyróżnia strony socjotechniczne, czyli phishing i strony wprowadzające w błąd, strony z złośliwym oprogramowaniem (malware) oraz strony z oprogramowaniem niechcianym ^[1]. Przeglądarka sprawdza adres przed otwarciem strony i przy trafieniu wyświetla ostrzeżenie.

Wyszukiwarka informuje o problemie osobno. Według pomocy Search Console strony z problemem bezpieczeństwa mogą mieć etykietę ostrzegawczą w wynikach wyszukiwania albo pełnoekranowe ostrzeżenie w przeglądarce ^[2]. Raport „Problemy dotyczące bezpieczeństwa” wymienia trzy kategorie: treść dodaną przez włamywacza, złośliwe i niechciane oprogramowanie oraz socjotechnikę ^[2]. Pliki uznane za podejrzane są wymienione w tym samym raporcie ^[3].

Cykl od infekcji do zdjęcia z listy pokazuje schemat poniżej.

RYS. 1Od infekcji do zdjęcia z listy

Rodzaje list

Czarne listy różnią się tym, kto je prowadzi i gdzie działa blokada.

Lista CERT Polska. Lista ostrzeżeń przed niebezpiecznymi stronami działa od marca 2020 roku i obejmuje domeny służące do wyłudzeń ^[4]. Podstawą prawną jest art. 20 ustawy z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej ^[4]; zob. ustawa o zwalczaniu nadużyć w komunikacji elektronicznej. Operatorzy przekierowują zablokowane domeny na serwer sinkhole z ostrzeżeniem ^[4]. Lista jest aktualizowana co 5 minut, a domena pozostaje na niej przez 6 miesięcy ^[4]. Właściciel domeny może złożyć sprzeciw do Prezesa UKE na podstawie art. 21 tej ustawy ^[4].

Listy pocztowe. Spamhaus opisuje swoją listę DBL jako wykaz domen o złej reputacji, używanych w niechcianej masowej poczcie, w tym do phishingu, oszustw i rozsyłania złośliwego oprogramowania ^[5]. Obejmuje też domeny przejęte, które na co dzień służą legalnym celom ^[5]. Serwery poczty sprawdzają DBL przy połączeniu, w trakcie sesji SMTP i przy analizie treści wiadomości, w tym adresów URL ^[5].

Inne znaczenie. W regułach zapór aplikacyjnych czarną listą nazywa się model negatywny, czyli listę treści niebezpiecznych, które zostaną zablokowane, zmienione albo zapisane w logach ^[8]. Przeciwieństwem jest model pozytywny oraz biała lista adresów IP (allowlist). Ten artykuł dotyczy pierwszego znaczenia, czyli reputacji domeny.

W WordPressie

Przejęta strona WordPress trafia na listy najczęściej przez kod wstrzyknięty po włamaniu. Typowe przyczyny to złośliwe przekierowania na strony oszustów, SEO spam i pharma hack dopisywane do treści, a także strony phishingowe wgrane do katalogu wp-content/uploads. Wpis może też wynikać z treści zewnętrznej, osadzonej na stronie, na przykład reklamy w modelu malvertising.

Ta druga droga ma polskie przykłady. W październiku 2012 roku Chrome ostrzegał przed stroną upc.pl, choć raport diagnostyczny Google jednocześnie podawał, że w ciągu 90 dni nie znaleziono na niej podejrzanej treści ^[6]. We wrześniu 2015 roku Safe Browsing oznaczyło wykop.pl; według Sekuraka źródłem były zewnętrzne strony osadzane przez użytkowników w sekcji /ramka/, a wyświetlenie 4 ze sprawdzonych stron skutkowało pobraniem złośliwego oprogramowania bez zgody użytkownika ^[7].

Etykieta „Ta witryna mogła paść ofiarą ataku hakerów” w wynikach Google ma osobne hasło: Ta witryna mogła paść ofiarą ataku hakerów.

Zagrożenia i skutki

Ostrzeżenie w przeglądarce albo w wynikach wyszukiwania stoi między odwiedzającym a stroną ^[2], więc część osób rezygnuje z wejścia, a ruch i sprzedaż spadają. Domena na liście pocztowej traci też doręczalność: wiadomości z odnośnikiem do niej mogą być odrzucane, co utrudnia kontakt z klientami nawet po wyczyszczeniu strony ^[5]. Konfiguracja SPF / DKIM / DMARC (uwierzytelnianie poczty) tego nie naprawi, bo dotyczy tożsamości nadawcy, a nie reputacji domeny w treści.

Sam wpis jest objawem, nie przyczyną. Zdjęcie strony z listy bez usunięcia źródła infekcji kończy się ponownym wpisem.

Jak postępować

1. Sprawdzić raport w Search Console, który wskazuje rodzaj problemu ^[2], a przy złośliwym oprogramowaniu także podejrzane pliki ^[3].
2. Przeprowadzić czyszczenie przejętej strony: znaleźć i usunąć wstrzyknięty kod, zmienić hasła, zaktualizować rdzeń, wtyczki i motywy. Pomaga skaner złośliwego oprogramowania (malware scanner).
3. Usunąć przyczynę, którą było włamanie, na przykład podatną wtyczkę.
4. Po naprawie całej witryny wybrać w raporcie opcję prośby o weryfikację i opisać wykonane kroki ^[2]. Google podaje, że większość weryfikacji trwa od kilku dni do kilku tygodni i nie należy ponawiać prośby przed decyzją ^[2].
5. Dla list pocztowych i listy CERT Polska skorzystać z procedur ich operatorów ^{[4] [5]}.

Zapobieganie sprowadza się do tego, by strona nie została przejęta: aktualizacji, ograniczonych uprawnień i stałego monitorowania integralności plików.