Malware Serve Spam de SEO a partir de Sites Externos

Aqui na Sucuri, todos os dias, lidamos com uma enorme quantidade de infecções de spam de SEO. No terceiro trimestre de 2016, aproximadamente 37% de todos os casos de infecções de sites foram relacionados a campanhas de spam de SEO via PHP, injeções de banco de dados ou redirecionamentos .htaccess.

Uma infecção por spam de SEO pode ser devastadora para a credibilidade e a reputação de um site. Muitos proprietários de sites reconhecem e apreciam o enorme esforço envolvido na criação e otimização de páginas para os mecanismos de busca. Infelizmente, os hackers não se preocupam com o tamanho do seu site – mesmo que você tenha começado ele ontem, você ainda pode se tornar uma vítima.

Sites Vulneráveis são Alvos Fáceis para Spam de SEO

Os hackers geralmente empregam ferramentas especiais para identificar páginas de alto nível que pertencem a sites vulneráveis, especialmente aquelas que usam CMS, plugin ou tema desatualizado. Uma vez que um site vulnerável está comprometido, eles distribuem palavras-chave indesejadas, conteúdo e spam nas páginas de alto nível.

Esses links e palavras-chaves de spam ajudam os sites do invasor a ficarem mais bem posicionados nos motores de busca, como o Google. Em muitos casos, se o hacker não alavancasse o SEO de outro site, eles provavelmente não seriam classificados, ou seriam completamente removidos pelo Google devido ao seu conteúdo.

Os visitantes que chegam a esses sites infectados com spam são normalmente redirecionados para páginas de spam ou recebem conteúdo injetado relacionado a indústrias farmacêuticas, moda ou entretenimento.

Campanha de Spam de SEO de Malware

Durante uma investigação recente, descobri que um malware puxava conteúdo de spam de um site externo: chinajianzhan[.]cn

A versão original do código foi codificada usando vidun[.]com e adicionado aleatoriamente a arquivos nomeados como can.php e michao.php.

<?php // This file is protected by copyright law & provided under license. Copyright(C)

Após a decodificação, o snippet fica assim:

Spam Condicional Baseado no Referrer

Este snippet tinha dois propósitos: utilizar um agente de usuário específico para exibir o conteúdo de spam e ocultar o fato de que eles estavam distribuindo spam dos motores de busca.

O invasor injetou um script simples usando a função file_get_contents() para acessar seu próprio URL personalizado. O script foi conectado a chinajianzhan[.]cn e tirou seu conteúdo de spam para o site infectado. O pedido aparecia assim:

hxxp://www.chinajianzhan [.] cn/bc/index.html?host=mywebsite.com/file1.php

O conteúdo exibido dependia do site que fez o pedido. Nesse caso, a informação foi enviada para o site remoto e uma página personalizada foi gerada para cada solicitação.

Este incidente é um excelente exemplo de como o conteúdo de spam pode ser escondido e depois carregado de uma fonte externa para um site infectado. O uso desta estratégia torna difícil tanto para o Google quanto para os visitantes saber se o conteúdo que está sendo servido não é do site original. Também pode levar o site a entrar em uma lista negra, o que é extremamente prejudicial para o SEO e para a reputação de qualquer site.

Conclusão

Para mitigar o risco de ser alvo de ataques, mantenha seu site WordPress em dia com as atualizações de software mais recentes e use senhas únicas e seguras.
Se seu site foi hackeado ou se entrou em uma lista negra, escrevemos um guia útil sobre como remover seu site da lista negra do Google.