Attacco ai siti WordPress: i pirati inseriscono collegamenti nascosti. La tecnica punta a migliorare il SEO di siti controllati dai cyber-criminali, ma usa uno stratagemma che rende i contenuti invisibili anche per l’amministratore del sito.
In gergo si chiama SEO Spam Injection ed è una pratica comune da parte dei cyber-criminali che cercano di violare siti Internet legittimi per iniettare al loro interno link nascosti a pagine Web che vogliono promuovere.
L’obiettivo è quello di fare in modo che i link vengano indicizzati dai motori di ricerca, che considerano ogni link su una pagina “esterna” come un fattore per valutarne la popolarità. Insomma: spammando a destra e a manca link nelle pagine di altri siti, i pirati riescono a scalare le classifiche delle ricerche.
Di solito questo tipo di attività può essere facilmente rilevata dagli amministratori, ma dalle parti di Sucuri, società di sicurezza specializzata nella gestione dei siti WordPress, hanno rilevato una nuova tecnica che consente ai pirati di far passare il tutto inosservato.
L’iniezione dei contenuti, che sono invisibili per i visitatori, avviene nel corso del processo di trasmissione dei dati e fa riferimento a una posizione inusuale, cioè un database collocato nel backend di WordPress.
Per rendere ancora più difficile da rilevare il contenuto “galeotto”, i cyber-criminali hanno fatto in modo di posizionare il codice che richiama i contenuti in una table con un prefisso diverso da quello predefinito di WordPress, in modo che i post non compaiano sulla dashboard dell’amministratore.
Questi vengono poi “ripescati” dal database e inseriti in coda di quelli legittimi quando un visitatore visualizza la pagina. Nessuno si accorge di nulla, ma i motori di ricerca indicizzano i link contenuti nei post iniettati all’interno delle pagine.
Secondo quanto scrivono i ricercatori, che hanno individuato il codice malevolo su almeno 173 siti Internet, i pirati avrebbero poi inserito un JavaScript con funzioni diverse, che prevedono il dirottamento dei visitatori su specifici siti Internet che possono contenere spam o malware.
Anche in questo caso, però, siamo di fronte a qualcosa di estremamente complesso e sofisticato. Come spiegano gli analisti di Sucuri, infatti, si tratta di un “dirottamento intelligente”, che sceglie la destinazione in base alle informazioni relative al visitatore, come la sua posizione geografica derivata dall’indirizzo IP.
Per controllare se il proprio sito è stato colpito è possibile usare uno strumento gratuito messo a disposizione dalla stessa Sucuri, che nel report spiega poi come eliminare il codice (si trova in functions.php) e ripulire il database del proprio sito.
Lascia un commento