Google & Indexación = Malware & Defacement

Hace un tiempo, mirando las fuentes de tráfico de mi blog, me di cuenta que muchos de los enlaces procedían como es lógico desde Google, curioso de mí, hice clic sobre estos para ver a donde me llevaban. En algunos casos, terminaba viendo imágenes indexadas de mi propio blog, sin embargo en otros automáticamente se redireccionaba a un tema en cuestión que anteriormente había publicado.

Con lo que me di cuenta que Google a diferencia de otros buscadores, utilizaba un enlace de redireccionamiento a todas las páginas que se encontraban indexadas en este. Si recuerdan mi anterior entrada sobre la distribución de malware mediante “redirects”, el principio de esta es sencillamente idéntica, pero utilizando nada más ni nada menos que el dominio principal de Google para este fin.

Se me ocurrió que sería una buena idea indexar ejecutables en el gigante de Google, utilizando páginas conocidas por el mismo, las toolbars o simplemente llevando a cabo un buen trabajo SEO, para dar salida a nuevos enlaces que corriesen bajo la redirección de Google.

Para ver si Google protegía a sus usuarios contra descargas de ejecutables de terceros desde su propia URL, se me ocurrió hacer búsquedas de extensiones ejecutables conocidas como “SCR” o instaladores “MSI”. La siguiente imagen no solo demuestra que Google indexa este tipo de archivos, sino que también permite leer su interior ya que este lo toma como texto.

No contento con esto, gracias a las fabulosas descargas automáticas de Google Chrome, se descarga el ejecutable en nuestro equipo al hacer clic sobre el enlace, pudiéndose tratar perfectamente de un malware disfrazado de salvapantallas.

Para ver de manera detallada el enlace, se observa como el campo de URL transporta la dirección de la página a resolver, junto al fichero y extensión en texto claro.

Para agitar más la entrada, ya que hablamos de SEO, o más bien Black Hat SEO, el cual nos ayudará a indexar estos ejecutables en Google, podemos saltar del malware al defacement. La verdad no vi nada al respecto por internet sobre el tema, pero podría ser lo más parecido a lo que un IFRAME INJECTION o quizás un HTML INJECTION, podría llegar a explotar.

Ciertas aplicaciones Flash dedicadas a la visualización de contenido multimedia, utilizan rutas relativas para hacer llamadas a videos, imágenes o archivos, en caso de videos normalmente FLV, para proceder a su visualización. En otros casos, se requieren llamadas por HTTP/S al mismo servidor o externos, que por ende son modificables desde la propia barra de direcciones, permitiendo llamar a videos de terceros.

El problema de utilizar estas aplicaciones, ocurre cuando una página conocida… me refiero a páginas gubernamentales, militares, estatales… las utilizan con el fin de publicar sus propios contenidos multimedia.

Valiéndonos de lo comentado anteriormente, podríamos utilizar diferentes métodos para indexar contenidos maliciosos o fraudulentos, con el objetivo de engañar a los usuarios que encontrasen la página mediante los buscadores. Realizando la siguiente búsqueda avanzada, encontraremos multitud de ejemplos:

inurl:"player.swf?video=http://"

Entre los afectados… la página oficial de Radio Televisión Española, hoy parece que le toca mostrar contenido erótico escondido detrás de un acortador de URL.

Los Tumbnails externos, también pueden jugar malas pasadas a páginas como Telefónica, además de la suplantación de los videos.

Y considerándome fan del Club de la Comedia, páginas militares, hoy dejaron las armas para teñirse del humor de Nacho García.

“La gente valora mucho tener estudios, pero tan importante como tener estudios es tener veranos, y… ¿la gente que tiene estudios y le falta un verano? ¿A dónde van?”

Saludos 4n4les! ;)