200.000 parkovaných domén s malware

Parkování domén je běžná forma monetizace domén, na kterých není obsah. Prostě je nasměřujete na určitý server, kde se začne generovat reklama podle toho, kdo na web chodí. Běžně se takto vydělává například na čerstvě smazaných doménách, na které stále chodí uživatele, ať už z vyhledávačů, přes odkazy anebo sociální sítě. Prostě zbytková návštěvnost. Takovéto domény mohou navštívit tisíce lidí za měsíc. Že jich nějaká firma má 200 tisíc asi nikoho nepřekvapí, co je však zajímavější je, že si k reklamám rozhodli přilepšit i malware.

Na blogu Sucuri se koncem minulého měsíce objevila zpráva o počínání jedné společnosti, která na parkovací stránku dávala malware formou obrázku, který se stahoval přímo v rámci jejich šablon. Jednalo se tedy s největší pravděpodobnosti o úmysl.

Zajímavé bylo, že měli zřejmě vše pěkně automatizované:

• Robot sledoval expirované domény, které měly aktivní odkazy, získáné za poslední rok.
• Domény museli chytat. Dnes se cokoliv co má zajímavé odkazy okamžitě po smazání registruje.
• Domény pak parkovali a vydělávali na modelu PPC/PPI
• V šabloně se nacházel malware, který mohl napadnout počítač návštěvníka.
• Domény nabízeli na prodej. Cena se pohybovala v nižších stovkách dolarech.
• Pokud si na sebe doména nevydělala anebo nebyla prodána, tak jí nechali expirovat.

S výjimkou toho malware to vlastně vypadá na klasický obchodní model. Ovšem vždy je náročné najít ty kousky, které si na sebe dokáží vydělat.

Sucuri se podle napadeného “obrázku” dohledat přes 200 tisíc domén. Samozřejmě byli v šoku jaké velké peníze se v tomto byznyse vlastně točí. 200K domén to jsou dva miliony USD na rok.

Závěr

Měli bychom si uvědomit, že každá doména takto může skončit, pokud je smazaná. Takže jakýkoliv odkaz, který na web umístíte může vést na potenciálně nebezpečnou stránku a Google opravdu nemá rád, když odkazujete na zavirovaný web. Správně bychom tedy měli jednou za čas všechny odkazy projít a zjistit jestli nevedou někam kam by neměly.

To je samozřejmě náročný úkol, ovšem dá se zautomatizovat. Pomocí programu Xenu’s Link Sleuth můžete ze svého počítače projít celý obsah vašeho webu, ten stáhne všechny odkazy, co se na něm nachází. Umí je potom i projít a zjistit jaký je na nich stavový kód. Všechny 4XX, 5XX rovnou smažte. To jsou v podstatě nefunkční odkazy, stejně jako vypršelo spojení. Podezřelé jsou pak 3XX (přesměrování). Odkaz může být v pořádku jen přešel provozovatel z HTTP na HTTPS, popřípadě musel provést jinou úpravu.

Samozřejmě získáte i seznam všech domén (odkazů), na které odkazujete. Ty pak můžete prohnat nějakým nástrojem, který prohledává databáze blacklistovaných domén. Třeba Google Transparency Report. I když to by chtělo spíše něco hromadného.

• https://blog.sucuri.net/2016/06/spam-via-expired-domains.html