ネットワークセキュリティ
 Computer >> コンピューター >  >> ネットワーキング >> ネットワークセキュリティ

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

スパムとは、ユーザーにとって無関係な迷惑メールや広告などを指す総称であり、インターネット上のさまざまな犯罪に悪用されています。ハッカーが無害なユーザーを騙して偽物の商品を購入させたり、クリック詐欺に誘導したりするケースもあれば、競合サイトの検索結果を汚染する目的で使われることもあります。スパムは通常、マルチ商法やピラミッドスキーム、格安医薬品など、魅力的なオファーを餌にユーザーを標的にします。

近年、大規模な韓国語SEOスパムが発覚しました。このキャンペーンで特に警戒すべき点は、正規のウェブサイトの検索結果を汚染するために用いられた巧妙な手口です。スパマーの手法は日々高度化しており、書籍『Spam: A Shadow History of the Internet』の著者は次のように述べています。

関連記事 – 自社サイトから日本語SEOスパム/キーワードハックを除去するには?

韓国語SEOスパムの多層構造を解明

この韓国語SEOスパムは、index.phpやfunctions.phpといったCMSの一般的なファイルを標的とします。これらのファイル内では、コードがbase64形式で隠されています。base64をデコードしても、さらに別の難読化レイヤーが施されているのが下の画像の通りです。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

画像のように、ハッカーは「Signature For Report」というコメントを使って、コードを解析しようとする者をミスリードしています。しかし、さらにデコードを進めると、韓国語SEOスパムキャンペーン全体の仕組みが明らかになります。その内容は以下の通りです。

  • 韓国語のスパムキーワードを取得する
  • それらをキャッシュする
  • クローキングによって訪問者ごとに異なるコンテンツを表示する

関連記事 – Magento・OpenCart・PrestaShopサイトがSEOスパムに感染した場合の対処法

韓国語SEOスパムの構成要素

スパムコンテンツの取得

この韓国語キーワードハックのコンテンツを取得するために、次のURLが使用されていました。hxxp://god.sm79[.]xyz/api.php?g=gitt。このリンクにアクセスすると、下の画像のようなbase64エンコードされたコンテンツが返されます。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

デコードすると以下のような内容になり、大量の韓国語キーワードとインジェクションタイプのリストが含まれています。

韓国語SEOスパムの設定配列

hxxp://god.sm79[.]xyz/api.php?g=gittから取得されるコンテンツには、多数の配列が含まれています。これらはスパマーが多種多様なスパムを作成・拡散するためのもので、主な配列は以下の通りです。

1. スパムルール用の設定配列。約199個ものスパムルールが収録されており、スパムが枯渇することはありません。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

2. ユーザーをリダイレクトするために使用されるドメインの設定配列。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

3. 標的となる約900以上のキーワード(一方の配列に309個、もう一方に608個)。「call girls for travelers(旅行者向け出会い系)」「online gambling(オンラインギャンブル)」「off-white merchandise(オフホワイト商品)」などが目立つキーワードとして挙げられます。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

ターゲットの地域限定

この韓国語SEOスパムキャンペーンは、韓国からのトラフィックのみを対象としています。以下のスパムのコード断片を見ると、その仕組みがよく分かります。

if(strpos(strtolower(@$_SERVER['HTTP_REFERER']), ".kr")

!== false || strpos(strtolower(@$_SERVER['HTTP_ACCEPT_LANGUAGE']),

"ko") !== false){

…

die('<!DOCTYPE html><html><body><script>document.location=

("'admin@wsxdn.com($sc_arr[0]).'"");

</script></body></html>');

}

1行目のコードは、リクエストが韓国版検索エンジン(「.kr」ドメイン)から発生したかどうかをチェックします。また、3行目ではユーザーのブラウザのデフォルト言語が韓国語(「ko」)かどうかを確認します。これらの条件が満たされると、リクエストはリダイレクトされます。さらに、先ほど取得したスパムコンテンツには韓国の都市名の配列も含まれており、都市ごとにスパムコンテンツをカスタマイズできるようになっています。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

あなたのサイトの検索結果が韓国語SEOスパムに汚染されていませんか?チャットウィジェットからメッセージをお送りください。迅速に修正をお手伝いいたします。今すぐサイトを修復する。

既存手法と新たな手口

韓国語SEOスパムには、日本語SEOスパムとの類似点が数多く見られます。例えば、世界中の多くのサイトにスパムのドアウェイページを作成する点や、格安医薬品を販売しようとする点などです。日本語SEOスパムと同様に、侵害されたサイトの所有権を主張する手口も見られます。

しかし、このキャンペーンが日本語SEOハックと大きく異なるのは、侵害されていない正規サイトの検索結果を汚染する新しく深刻な手法を採用している点です。「hxxp://god.sm79[.]xyz/api.php?g=gitt」から取得したコンテンツ内の設定配列の一つには、約500件のランダムなサイトのリストが含まれていました。これらのサイトのURLはhttps://example.com/?s=[something]という形式で保存されています。URL末尾の「/?s=search-string」は、WordPressサイトに対して特定のクエリで検索を実行するリクエストです。攻撃者が行ったのは、ランダムなサイトをこれらの韓国語スパムキーワードに紐付けることでした。前述の通り、これらのサイトは侵害されていないため、韓国語キーワードに対する検索結果は返しません。しかし、「ページが見つかりません」というページ自体にキーワードが含まれていたため、Googlebotはこれらのサイトを当該キーワードでランキングしてしまったのです。

より具体的に理解するために、以下の例をご覧ください。

韓国語SEOスパムとは?その仕組みと削除・対策方法を徹底解説

このページは単に「検索クエリが見つかりませんでした」と表示しているだけですが、同時にスパムキーワードを含む完全な検索語も表示されています。さらに、このスパムキャンペーンで宣伝されているサイトgmvcs[.]comの名前も含まれています。そのため、このサイトをGoogleで簡単に検索するだけで、何百万ものインデックスされたページがヒットします。しかし実際には、どのページにもそのキーワードは存在しません。つまり、これは正規サイトのSERPs(検索エンジン結果ページ)を複数のスパムキーワードと宣伝サイトで汚染するものであり、ネガティブSEOを引き起こし、サイト管理者にとって悪夢となり得るのです。

対策方法

NoIndexタグの設定

自社サイトの検索結果汚染を防ぐには、検索結果ページに以下のタグを挿入してください。

<meta name="robots" content="noindex">

もう一つの方法として、robots.txtファイルでインデックスを拒否することもできます。ルートフォルダにrobots.txtファイルを作成し、以下のコードを追加してください。

User-agent: *

Noindex: /

これらの設定は、WordPressプラグインを使って行うことも可能です。

Astraによる保護の活用

Astraは、特に韓国語SEOスパムにおけるno-index関連の脆弱性など、サイトのセキュリティホールを検出できます。また、Astraのような包括的なセキュリティソリューションを導入すれば、今後の同種のスパムからウェブサイトを守ることができます。さらに、Astraファイアウォールはスパム攻撃、SQLi、XSS、CSRF、悪意あるボットなど、100種類以上の一般的な攻撃をブロックします。今すぐAstraの保護レイヤーをサイトに追加しましょう!

  1. Avast Remediation.exeとは?概要とWindows 10での削除方法を徹底解説

    サイバー犯罪の被害に遭うまでは、誰もが「自分は大丈夫」と楽観的に考えがちです。しかし、デジタル上のプライバシーや機密データが突然第三者の手に渡ったり、ネット上に晒されたりしたら――それはまさに悪夢そのものです。どれほど慎重に行動していても、ひと瞬の油断で全てが崩れ去り、深い後悔だけが残ることになりかねません。幸い、多くのユーザーはアンチウイルスソフトを導入してデバイスと大切なデータを守っています。アンチウイルスソフトは盾のような存在であり、システムを悪意ある脅威から保護し、セキュリティを強化することでハッカーの侵入を防いでくれます。アンチウイルスソフトといえば、Avastは無料版と有料版の両方

  2. TrickBotマルウェアとは？感染経路とMacからの完全削除ガイド

    2016年以降、サイバー犯罪者たちは機密データを盗み見るためにTrickBot（トリックボット）マルウェアを使用してきました。当初はデータ窃取に重点を置いていたこのマルウェアは、現在ではネットワークトラフィックを改ざんしてさらなる拡散を図る能力まで備えています。脅威アクターにとってお気に入りのツールであり、長年にわたるアップデートを重ね、より多くのシステムを標的にできるよう進化してきました。そのため、「適応型モジュラーマルウェア」という評価も得ています。 さらに、バンキングトロイの木馬であるTrickBotは、感染したネットワークを経由して拡散する性質を持ち、WindowsのServer Me