近日,安全研究人员丹彻·丹切夫(Dancho Danchev)本月初报告的一例网络攻击事件目前已蔓延到了100多万个网页,其中不乏一些知名网站。
据国外媒体报道,丹切夫周五在博客中表示:“该攻击事件中受影响的网页及受影响网站的知名度都有所见涨。”据他透露,受到攻击的知名站点包括USAToday.com、Target.com和Walmart.com等。
目前,该网络攻击事件的制造者尚未攻破服务器,但他却利用网页编程错误将恶意代码嵌入相关网站内部搜索引擎的搜索结果之中。
攻击者所实施的攻击路径如下:攻击者利用网站内部的搜索引擎搜索某一热门关键词,比如“帕里斯·希尔顿”,然而将一个HTML指令绑定到这一搜索结果中。这样,受害用户在打开上述“问题”搜索结果时,其浏览器会在后台打开一个受害用户无法查觉的内嵌框架(iframe)窗口,并将访问路径定向至一个恶意网站,访问该恶意网站时就会在受害者电脑上安装一些虚假的反间谍软件或Zlob木马软件。
为了提高在谷歌搜索结果中的排名,一些网站通常会保存搜索结果,并将其提交给谷歌搜索引擎。而当用户使用谷歌关键词搜索时,上述缓存搜索结果已自动弹出,部分搜索结果已绑定了恶意代码。
“恶意攻击者将网站内部搜索引擎的搜索结果绑定恶意代码之后,这些搜索缓存结果就被加入谷歌搜索引擎,并且相关结果链接甚至可能进入谷歌的前十条搜索排名,从而所有点击相关搜索结果的用户都可能中招。”丹切夫接受采访时表示。
他表示相信,经过攻击者的上述手法绑定了恶意代码的网页已达100万个以上。
“攻击者提交的带恶意脚本的关键字越多,包含关键词的网页越多,相关网站的搜索排名也越靠前。”丹切夫表示。这意味着,用户在点击一些知名网站上托管的搜索结果时也完全可能会打开一个恶意网页。
丹切夫认为,网站加大对站内搜索引擎的搜索请求的监控,事先将包含恶意代码的结果进行过滤,这样可以大大减少此类攻击的影响范围。
越来越多的恶意黑客正想方设法将恶意代码安装到一些具有较高信誉的知名网站,安全厂商在监控中发现,最近几周有成百上千万的网页遭到上述类似攻击手法的篡改。
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
相关推荐
-
微软公司提供IE浏览器零日“双杀”漏洞补丁
微软公司2018年五月份的周二补丁日提供了IE浏览器零日漏洞补丁修复,该漏洞上个月已经被外部攻击者利用。(译注 […]
-
2018:自动化攻击加剧,拿什么来保障安全最后一公里?
自动化攻击的新趋势,给2018年企业的安全防护带来了前所未有的巨大挑战。对于越来越智能、呈现自主决策和军团化的自动化攻击,企业需要重新审视现有的安全防御响应系统,来保障最后一公里的安全。
-
Google Docs钓鱼攻击是如何运作的?
Google Docs钓鱼攻击使用OAuth令牌,影响了超过一百万Gmail用户。在本文中,专家Nick Lewis解释了它是如何运作的,以及如何防御这种攻击。
-
SEC数据泄露事故可导致非法股票交易
日前,美国证券交易委员会(SEC)承认,其2016年发生的数据泄露事故(此前并未公开)可能已经产生了比之前想象的更为严重的影响……