złośliwe przekierowanie

Złośliwe przekierowanie to automatyczne przeniesienie odwiedzających zainfekowaną stronę na obcą witrynę: fałszywą loterię, stronę wymuszającą zgodę na powiadomienia push, oszukańczy sklep albo stronę z złośliwym oprogramowaniem (malware) ^[1]. Kod przekierowania atakujący umieszcza w plikach strony, w bazie danych albo w konfiguracji serwera. CERT Polska zauważa, że takie przekierowanie najczęściej ujawnia się tylko za pierwszym razem, a przy kolejnych odwiedzinach strona wygląda normalnie ^[1]. Według CERT jest ono objawem tego, że atakujący ma pełny dostęp do treści witryny i możliwość zarządzania nią ^[1].

Jak działa

Przekierowanie jest skutkiem, a nie metodą włamania. Najpierw atakujący musi zmienić stronę, na przykład przez podatność we wtyczce ^[1] albo przez dane logowania do FTP i panelu przechwycone na komputerze właściciela ^[7]. Potem dokleja kod, który przy spełnieniu warunków przenosi odwiedzającego dalej. Google opisuje, że włamywacze wstrzykują złośliwy kod do istniejących stron, najczęściej jako JavaScript umieszczony bezpośrednio w stronie albo w ramkach iframe ^[3]. Schemat poniżej pokazuje przekierowanie przy pierwszej wizycie.

RYS. 1Przekierowanie przy pierwszej wizycie

Warunkowość jest cechą charakterystyczną. Google w polityce antyspamowej podaje jako przykłady pokazywanie wyszukiwarce innej treści niż użytkownikom oraz pokazywanie normalnej strony użytkownikom komputerów przy jednoczesnym przekierowaniu użytkowników telefonów na zupełnie inną, spamerską domenę ^[3]. W 2015 roku Google opisał, że skutkiem włamania mogą być przekierowania na spamerskie domeny wyłącznie dla użytkowników mobilnych ^[4]. Właściciel, który loguje się do panelu z komputera, może więc długo nie widzieć problemu.

Odmiany

Ostatni wiersz nie dotyczy włamania. Google zauważył, że skrypt reklamowy zainstalowany dla zarobku może przekierowywać użytkowników mobilnych na zupełnie inną witrynę bez wiedzy właściciela strony ^[4]. Zjawisko to łączy się z malvertisingiem.

Złośliwe przekierowanie trzeba też odróżnić od open redirect. Ta druga to słabość aplikacji, która przyjmuje od użytkownika adres zewnętrznej strony i używa go w przekierowaniu ^[6]. Open redirect nie wymaga włamania: atakujący tylko wykorzystuje zaufaną domenę w linku, na przykład w phishingu.

W WordPressie

Kampanie przekierowań na stronach WordPress wykorzystują zwykle błędy wtyczek. W maju 2023 roku Sekurak opisał masowe ataki na wtyczkę Beautiful Cookie Consent Banner, podatną na stored XSS ^[2]. Atakujący mogli bez uwierzytelnienia podmienić link w banerze zgody na ciasteczka i umieścić w nim JavaScript ^[2]. Kod wykonywał się w przeglądarce odwiedzającego i pozwalał na przekierowania na złośliwe strony, a gdy stronę otworzył zalogowany administrator, także na przejęcie instalacji ^[2]. Według danych Wordfence przytoczonych przez Sekurak od 23 maja 2023 roku zablokowano prawie 3 miliony ataków na ponad 1,5 miliona stron z niemal 14 000 adresów IP ^[2].

Ten wzorzec łączy przekierowanie z trwałym przejęciem. CERT Polska opisał, że Balada Injector od 2017 roku systematycznie wykorzystuje luki we wtyczkach WordPressa, aby uzyskać uprawnienia administratora ^[1]. W fali z grudnia 2023 roku, opartej na luce CVE-2023-6000 we wtyczce Popup Builder w wersji do 4.2.3, atakujący mogli instalować wtyczki i tworzyć nowe konta administratorów ^[1].

Zagrożenia i skutki

Dla odwiedzających skutkiem jest kontakt z oszustwem albo złośliwym oprogramowaniem. Dla właściciela strony ważne są też skutki pośrednie. Google oznacza strony z problemami bezpieczeństwa etykietą ostrzegawczą w wynikach wyszukiwania albo przeglądarka pokazuje stronę z ostrzeżeniem przed wejściem ^[5]; zob. wpis na czarną listę (blacklisting). Przekierowania zwodzące wyszukiwarkę naruszają zasady Google dotyczące spamu ^[3], co łączy je z SEO spamem.

Jak się bronić

Wykrywanie. Google zaleca sprawdzanie strony smartfonem, wchodząc na nią z wyników wyszukiwania, a przy diagnozie emulację urządzeń mobilnych w przeglądarce ^[4]. Warto słuchać skarg użytkowników i obserwować w analityce nagły spadek czasu spędzanego na stronie przez użytkowników mobilnych ^[4]. Pierwszą wizytę z wyszukiwarki można zasymulować zapytaniem bez ciasteczek:

# nagłówki odpowiedzi dla telefonu wchodzącego z wyników Google
curl -sI -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)" \
  -e "https://www.google.com/" https://example.com/

Raport problemów bezpieczeństwa w Search Console pokazuje oznaki włamania, a po naprawie pozwala złożyć prośbę o ponowne sprawdzenie; Google uprzedza, że może ono trwać od kilku dni do kilku tygodni ^[5].

Usuwanie. CERT Polska podkreśla, że do zatrzymania przekierowania nie wystarczy usunięcie podatnej wtyczki ^[1]. Należy prześledzić i usunąć nieautoryzowane zmiany w kodzie, przejrzeć listę użytkowników i zmienić hasła ^[1]. Najpewniejsze jest zbudowanie strony od nowa bez kopiowania plików albo przywrócenie kopii zapasowej (backup) z czasu przed instalacją podatnej wtyczki ^[1]. Pełną procedurę opisuje hasło czyszczenie przejętej strony.

Zapobieganie. CERT zaleca systematyczne aktualizacje z użyciem wbudowanej automatycznej aktualizacji, usuwanie niewspieranych wtyczek, uwierzytelnianie dwuskładnikowe (2FA), silne hasła i ograniczanie uprawnień ^[1]. Pomocne są też zabezpieczenia w .htaccess i kontrola zmian w plikach.