Técnicas BlackHat SEO en la propagación de malware

La constante evolución de los medios de comunicación a través de Internet genera nuevos desafíos para los usuarios que buscan buenas experiencias de navegación. Consecuentemente, surgen nuevos riesgos asociados a dicha evolución, dado que los desarrolladores de malware centran sus esfuerzos en diseñar mecanismos de propagación basados en la utilización de Internet como plataforma de ataque.

En línea con esta tendencia, han comenzado a aparecer métodos de propagación que abusan de los motores de búsqueda con el objetivo de lograr un mejor posicionamiento de las páginas diseñadas maliciosamente para alojar diferentes amenazas. Para ello, se utilizan técnicas denominadas BlackHat SEO, una práctica que aprovecha las técnicas de SEO (Search Engine Optimization – Optimización de Motores de Búsqueda) con fines dañinos.

El SEO se refiere al empleo de diversos métodos para lograr un buen nivel de posicionamiento en los motores de búsqueda -es decir, aparecer en los primeros resultados de una búsqueda determinada- con la finalidad de conseguir un mayor caudal de visitas.

Las técnicas de BlackHat SEO, que también poseen como objetivo lograr un mejor posicionamiento web, se diferencian de las anteriores en que promocionan productos, servicios o programas dañinos abusando de los métodos de SEO convencionales. De esta manera, se logra “engañar” al buscador y manipular los resultados, violando así las políticas establecidas por los buscadores en cuanto al buen uso de los mismos.

Esto redunda en una experiencia negativa por parte del usuario ya que, en la mayoría de los casos, no logra encontrar lo que realmente está buscando y termina siendo redireccionado a un sitio web con contenido malicioso.

Existe una clasificación de métodos de posicionamiento web abusivos. La siguiente lista, engloba a los más habituales:

• Cloaking: se utiliza para mostrar en los motores de búsqueda contenidos diferentes de los que se encuentran efectivamente en la página a la que se remite al usuario
• Spamming Keywords: cuando se utilizan palabras claves popularmente buscadas para formar frases dentro del contenido de un sitio web
• Texto oculto, también llamado palabras encubiertas: este método de BlackHat SEO utiliza contenido (texto) con el mismo color del fondo del sitio web.
• Keyword stuffing: cuando se hace abuso de la inserción de palabras claves dentro del contenido de un sitio web.
• Contenido duplicado: busca que varios sitios web alojen el mismo contenido, con el mismo significado, pero utilizando palabras diferentes.

• Puertas traseras: cuando se generan varias páginas web para que apunten a una que finalmente ofrece el producto que se desea promocionar.

Los desarrolladores de códigos maliciosos no quedan al margen de estas técnicas por lo que suelen crear sus estrategias de propagación e infección incorporando, en muchos casos, las alternativas del BlackHat SEO.

Códigos maliciosos tipo rogue suelen hacer uso de estas técnicas, logrando posicionar por un corto tiempo (no mayor a una semana), pero el suficiente para obtener sus objetivos, sitios web que remiten al usuario hacia páginas que ofrecen la descarga de la falsa solución de seguridad.

Asimismo, por ejemplo, los propagadores del troyano Waledac también han utilizado técnicas de este tipo, formando los nombres de los dominios empleados para propagar la amenaza en base a diferentes palabras altamente demandadas a través de buscadores y combinando estas palabras para formar las direcciones web utilizadas para propagar los archivos ejecutables dañinos.

Algunas de las palabras empleadas por Waledac son: valentine, sms, news, mobile, love, online, free, portal, wireless, link, help, radio, report, chat, digital, country, zone, obama, greeting, company, service, entre una larga lista de otras palabras. Durante su última campaña, lanzada con motivo del día de la independencia de EEUU, Waledac empleó palabras como firework, 4th, independence, happy, july, movies, video.

A continuación, se expone una captura en la cual se visualiza el posicionamiento web logrado para propagar códigos maliciosos:


Este caso representa un ejemplo común donde se busca un determinado programa y el buscador devuelve sitios de páginas de warez con formato de blog que propagan códigos maliciosos como los dos primeros resultados.

Las metodologías de BlackHat SEO están siendo adoptadas cada vez más por los propagadores de malware en un intento por dirigir un mayor volumen de potenciales víctimas hacia páginas web maliciosamente creadas, presentando un nuevo enfoque de propagación de amenazas informáticas.

En consecuencia, es fundamental mantener el equipo constantemente protegido a través de la implementación de una solución de seguridad antivirus con capacidades de detección proactivas como ESET NOD32, capaz de detener los ataques por malware, permitiendo de este modo al usuario disfrutar de la navegación sin preocuparse por técnicas de BlackHat SEO.