Malware / infekcja

Malware / infekcja (ang. hacked content, website malware) — parametr monitoringu stron WordPress opisujący skutki włamania widoczne z zewnątrz, w treści odpowiedzi HTTP: wstrzyknięty lub zaciemniony JavaScript, ukryte ramki iframe, spam SEO, przekierowania i cloaking. Google definiuje treść zhakowaną jako każdą treść umieszczoną w witrynie bez zgody właściciela wskutek luk w jej zabezpieczeniach i wyróżnia cztery jej postacie: wstrzyknięcie kodu, wstrzyknięcie stron, wstrzyknięcie treści oraz przekierowania.^[1]

Jak działa

Wstrzyknięty JavaScript. Wstrzyknięcie kodu ma najczęściej postać złośliwego JavaScriptu dodanego bezpośrednio do strony albo do ramek iframe.^[1] Typowe ślady to element script ładujący plik z serwera napastnika oraz iframe o zerowej wysokości i szerokości ze stylem display:none, niewidoczny dla odwiedzającego.^[2] Kod bywa zaciemniany, np. konstrukcją eval(atob(...)), w której eval parsuje przekazany argument i wykonuje go jako JavaScript — MDN zalicza tę funkcję do tzw. injection sinks.^[4] Taki zapis ukrywa właściwą treść skryptu przed pobieżnym przeglądem kodu źródłowego strony.

Spam SEO. Wstrzyknięcie treści polega na dodaniu do istniejących stron ukrytych linków lub ukrytego tekstu, a wstrzyknięcie stron — na tworzeniu nowych podstron ze spamem.^[1] W odmianie znanej jako „Japanese keyword hack” powstają automatycznie generowane strony z japońskim tekstem w katalogach o losowych nazwach, zarabiające na linkach partnerskich do sklepów z podróbkami markowych towarów; napastnik często dopisuje się też jako właściciel witryny w Google Search Console.^[7]

Cloaking. Cloaking to pokazywanie wyszukiwarkom innej treści niż użytkownikom w celu manipulowania rankingiem; Google podaje przykład strony o podróżach wyświetlanej wyszukiwarce i strony z tanimi lekami wyświetlanej ludziom.^[1] Wstrzyknięty kod rozpoznaje robota po nagłówku User-Agent. W przypadku opisanym przez Sucuri w styczniu 2026 roku skrypt porównywał go z listą robotów (Googlebot, Bingbot, Baiduspider): człowiek otrzymywał zwykłą stronę, robot — reklamy hazardowe.^[6] Pokrewne warianty uzależniają przekierowanie od User-Agent, pory dnia lub strony odsyłającej, a część złośliwego kodu uaktywnia się wyłącznie przy wejściu z wyników wyszukiwania Google.^[2]

RYS. 1.1Cloaking: dwie odpowiedzi pod jednym adresem

Z zewnątrz obserwowalny jest środkowy odcinek łańcucha infekcji: kod zapisany w plikach lub bazie danych trafia do HTML-a, a stamtąd uruchamia przekierowanie albo ładunek w przeglądarce odwiedzającego.^[12]

RYS. 1.2Łańcuch infekcji widocznej z zewnątrz

Standardy i specyfikacje

Punktem odniesienia są dokumenty wyszukiwarki Google, dokumentacja platformy webowej i zalecenia organizacji branżowych.

• Zasady Google dotyczące spamu definiują cloaking, treść zhakowaną oraz ukryty tekst i linki, np. biały tekst na białym tle albo czcionkę o rozmiarze lub przezroczystości 0.^[1]
• Google Safe Browsing pozwala aplikacjom sprawdzać adresy URL na stale aktualizowanych listach niebezpiecznych zasobów: stron socjotechnicznych (phishing), stron z malware i z oprogramowaniem niechcianym. API Safe Browsing jest przeznaczone wyłącznie do użytku niekomercyjnego; do zastosowań komercyjnych Google wskazuje Web Risk API.^[8]
• Raport „Problemy dotyczące bezpieczeństwa” w Google Search Console rozróżnia treść zhakowaną (wstrzyknięcie kodu, treści i adresów URL), malware i oprogramowanie niechciane oraz socjotechnikę.^[3]
• MDN opisuje eval jako punkt wstrzyknięcia podatny na XSS i jako ograniczenie ryzyka wskazuje przekazywanie obiektów TrustedScript z wymuszeniem Trusted Types.^[4]
• OWASP w zestawieniu „Third Party JavaScript Management Cheat Sheet” opisuje tagi marketingowe i analityczne jako niewielkie fragmenty JavaScriptu, które wykonują się z pełnymi uprawnieniami strony, i zaleca m.in. Subresource Integrity.^[9]

Zagrożenia i skutki

Strony, u których Google stwierdzi problem bezpieczeństwa, mogą otrzymać etykietę ostrzegawczą w wynikach wyszukiwania albo pełnoekranowe ostrzeżenie w przeglądarce.^[3] Odwiedzający stają się celem dalszych ataków: SocGholish wyświetla okno udające komunikat przeglądarki o konieczności aktualizacji, które prowadzi do pobrania malware GhoLoader,^[11] a technika ClickFix nakłania ofiarę do samodzielnego uruchomienia złośliwego polecenia w oknie „Uruchom” systemu Windows.^[12]

Granice obserwacji z zewnątrz. Napastnicy serwują złośliwą treść tylko wybranym agentom lub odwiedzającym z określonych stron odsyłających, aby uniknąć wykrycia przez właścicieli i skanery.^[2] Znaczna część infekcji w ogóle nie trafia do HTML-a: DollyWay tworzy konta administratorów o losowych szesnastkowych nazwach i przy każdym wczytaniu strony ponownie wstrzykuje kod do wszystkich aktywnych wtyczek,^[10] SocGholish instaluje fałszywe wtyczki CMS działające jako backdoory,^[11] a napastnik „Japanese keyword hack” dodaje się do właścicieli witryny w Search Console.^[7] Złośliwe zadania cron potrafią ponownie zainfekować witrynę w ciągu kilku minut nawet po przywróceniu plików i bazy z czystej kopii, a skanowanie plików ani bazy danych ich nie obejmuje.^[5] Obserwacja odpowiedzi HTTP wykrywa więc skutek, lecz nie potwierdza braku takich elementów.

Obce skrypty. Skrypt z cudzej domeny nie jest sam w sobie oznaką infekcji — tagi analityczne i marketingowe są standardowym elementem stron.^[9] Zarazem pochodzenie z własnej domeny nie świadczy o czystości: DollyWay dołącza skrypt funkcją wp_enqueue_script pod adresem samej zainfekowanej witryny, w postaci /? z 32-znakowym skrótem MD5 i parametrem ver.^[10]

Przykłady

Kampania	Lata	Mechanizm	Skala
DollyWay World Domination	od 2016, opis 2025[10]	skrypt ładowany z domeny ofiary, ruch do sieci VexTrio/LosPollos[10]	ponad 20 000 stron w 8 lat, ok. 10 mln wyświetleń miesięcznie[10]
SocGholish (TA569) z TDS TA2726	opis 2026[11]	zaciemniony JS z fałszywych wtyczek; złośliwy Keitaro TA2726 kieruje ruch wg profilu i kraju; fałszywa aktualizacja przeglądarki[11]	14 971 stron oczyszczonych i ponad 100 serwerów oraz domen wyłączonych w Operation Endgame[11]
UNC5142: EtherHiding i ClickFix	2025[12]	JS w plikach wtyczek, motywu lub w bazie; konfiguracja pobierana z kontraktów BNB Smart Chain[12]	ok. 14 000 stron z wstrzykniętym kodem (czerwiec 2025)[12]
Japanese keyword hack	—	generowane strony w losowych katalogach, cloaking, reguły .htaccess[7]	brak danych

DollyWay wiąże się z kampaniami działającymi od 2016 roku; GoDaddy opisał ją w marcu 2025 roku jako operację, która w ciągu ośmiu lat zainfekowała ponad 20 000 witryn.^[10] SocGholish korzysta z usługi TDS prowadzonej przez TA2726, dystrybuującej ładunki w zależności od profilu i położenia odwiedzającego; w czerwcu 2026 roku operacja Endgame wyłączyła ponad 100 serwerów i domen.^[11]

EtherHiding to technika ukrywania złośliwego kodu lub danych w publicznym blockchainie, np. BNB Smart Chain. Wstrzyknięty skrypt CLEARSHORT łączy się z siecią przez publiczny węzeł RPC za pomocą biblioteki Web3.js. Zmiana adresu przynęty lub klucza w kontrakcie kosztuje od 0,25 do 1,50 USD opłat sieciowych, a niezmienność blockchaina utrudnia przejęcie i wyłączenie infrastruktury.^[12]