SEODisc: Analyse SEO vergifteter Suchmaschinenergebnisse

Transkript

1 Matthias Meyer 1, Dr. Michael Meier 2 Kurzfassung: Malware stellt eine große und zunehmende Bedrohung für die Sicherheit informationstechnischer Systeme dar. Zunehmend wird Malware über Webseiten verbreitet. Dazu nutzen bösartige Webseiten gezielt Verwundbarkeiten in Webbrowsern aus, um Malware-Dateien auf dem Rechner des Browserbenutzers zu installieren. Des Weiteren verwenden die Autoren bösartiger Webseiten gezielt Techniken, um Internetnutzer auf ihre bösartigen Webseiten zu locken. Zu diesen Techniken zählt bösartige Search Engine Optimization (SEO), die dafür sorgt, dass Suchmaschinen für spezifische Schlagworte Ergebnisse liefern, die auf bösartige Webseiten verweisen. In dieser Arbeit wird ein Ansatz zur Erkennung manipulierter Suchmaschinenergebnisse vorgestellt und untersucht, der insbesondere auf der Analyse der Unterschiede zwischen Webseitenversionen für verschiedene User- Agents basiert. Die entwickelten und im SEODisc-System [2] implementierten Analyseverfahren werden vorgestellt und die Ergebnisse einer experimentellen Analyse werden diskutiert. Stichworte: Malware, Drive-by-Download, Black-Hat SEO, Differenzanalyse, SEODisc, SEO-Netz 1. Einführung Malware stellt eine immer größer werdende Bedrohung im täglichen Umgang mit dem Medium Internet dar. In der Vergangenheit erfolgte die Verbreitung von Malware hauptsächlich über Angriffe einzelner Rechner, die über das Netzwerk verbunden waren. In Zeiten von Personal Firewalls, NAT, Proxies und Virenscannern ist es für Angreifer jedoch schwieriger geworden Rechner durch einen direkten Angriff über das Netzwerk mit Schadsoftware zu infizieren. Aus diesem Grund setzen Angreifer vermehrt darauf, Malware durch Ausnutzung von Schwachstellen in Client-Software zu verbreiten. Die bevorzugte Software ist dabei der Internet-Browser, da dieser auf quasi jedem Rechner vorzufinden ist und von Benutzern täglich vielfach verwendet wird. Entsprechend wird Malware zunehmend über Webseiten verbreitet. Dazu nutzen bösartige Webseiten gezielt Verwundbarkeiten in Internet-Browsern oder ihren Erweiterungen aus, um Malware-Dateien auf dem Rechner des Browserbenutzers zu installieren. Des Weiteren verwenden die Autoren bösartiger Webseiten gezielt Techniken, um Internetnutzer auf ihre bösartigen Webseiten zu locken. Zu diesen Techniken zählt bösartige Search Engine Optimization (SEO), die dafür sorgt, dass Suchmaschinen für spezifische Schlagworte Ergebnisse liefern, die auf bösartige Webseiten verweisen [6]. In diesem Beitrag werden ein Ansatz und ein entsprechendes Werkzeug SEODisc vorgestellt, die dazu entwickelt wurden, automatisch mittels SEO optimierte bösartige Webseiten zu erkennen. Als bösartig erkannte Webseiten können dann beispielsweise mit Web-Honeyclients wie MonkeyWrench (vgl. [9, 10]) im Detail untersucht werden, 1 Technische Universität Dortmund 2 Technische Universität Dortmund, Lehrstuhl Informatik 6 12.Deutscher IT-Sicherheitskongress des BSI 1

2 um die verbreitete Malware zu analysieren und Anti-Viren-Produkte entsprechend optimieren zu können. Der vorliegende Beitrag ist wie folgt gegliedert. In Abschnitt 2 werden zunächst einige grundlegende Themen behandelt, die für das Verständnis der Analyse von Bedeutung sind. Darauf folgt in Abschnitt 3 die Beschreibung des Ansatzes, der vom SEODisc- System verfolgt wird, um bösartige Webseiten in den Top-Suchergebnissen ausfindig zu machen. Anschließend wird in Abschnitt 4 das durchgeführte Experiment zur Kontrolle der Funktionsfähigkeit beschrieben, bevor die dabei gewonnenen Erkenntnisse in Abschnitt 5 dargestellt werden. Abschließend wird die Arbeit zusammengefasst und ein Ausblick auf Erweiterungen des Systems wird gegeben. 2. Grundlagen Dieser Abschnitt behandelt zunächst grundlegende Themen, die für das Verständnis der im Weiteren betrachteten Techniken erforderlich sind. Zunächst wird das Verfahren der Auslieferung von User-Agent spezifischen Inhalten erörtert. Missbrauch von Suchmaschinen durch Black-Hat SEO Um die Verbreitung von Malware zu optimieren, ist es das Ziel von Malware-Autoren möglichst viele Benutzer auf die manipulierte Webseite zu locken. Je mehr Benutzer die Seite besuchen, desto höher ist die Chance, Benutzer mit verwundbaren Internet- Browsern infizieren zu können. Aus diesem Grund missbrauchen Autoren von Malware gezielt Internet- Suchmaschinen, um durch Manipulation von Suchergebnissen möglichst viele Benutzer auf die manipulierten Webseiten zu locken. Diese Art der Suchmaschinenmanipulation wird als Black-Hat Search Engine Optimization (SEO) bezeichnet. Mittels Black-Hat SEO ist es möglich, gezielt solche Webseiten in den Top-Suchergebnissen zu bestimmten Schlagworten zu platzieren, die auf legitimem Wege nicht eine solch hohe Platzierung erreichen würden. User-Agent spezifische Webseitenauslieferung Betreiber von Black-Hat-SEO nutzen die Möglichkeit, abhängig vom verwendeten User-Agent des Benutzers eine spezielle Version der Webseite auszuliefern. Unter einem User-Agent wird in diesem Zusammenhang das Programm verstanden, welches zum Abrufen der Webseite verwendet wird. Typische Vertreter sind Internet-Browser wie Internet Explorer oder FireFox, sowie Crawler von Suchmaschinen. Die Unterscheidung verschiedener User-Agents geschieht dabei mittels eines im HTTP- Protokoll bei Anfragen mit übermittelten User-Agent-String, der eindeutig für die User-Agents ist. Eine Liste bekannter User-Agent-Strings ist z.b. in [5] zu finden. Die Auslieferung verschiedener Webseiteninhalt in Abhängigkeit vom verwendeten User- Agent ist in Abbildung 1 veranschaulicht Deutscher IT-Sicherheitskongress des BSI

3 Abbildung 1: Auslieferung verschiedener Webseitenvarianten Diese Technik der selektiven Auslieferung von Inhalten wird bei gutartiger Webseitenoptimierung unter anderem dafür verwendet, speziell an den Webbrowser (User-Agent) angepasste Versionen einer Webseite auszuliefern. Wird vom Benutzer z.b. ein Browser für blinde Personen verwendet, werden keine Bilder an den Browser zurück geliefert. Gleiches gilt z.b. für die Verwendung von Text-orientierten Browsern wie lynx. Oftmals sind auch spezielle Optimierungen von Webseiten für bestimmte Browservarianten erforderlich, um Anzeigefehler zu vermeiden. Auch zu diesem Zweck wird zwischen verschiedenen User-Agents differenziert. Black-Hat-SEO-Betreiber verwenden diese Technik, um einem Suchmaschinen- Crawler eine speziell optimierte Version einer Webseite auszuliefern. Diese muss dabei nicht viel mit der Webseitenversion zu tun haben, die einem menschlichen Besucher angezeigt würde. Diese Technik wird gezielt verwendet, um die Bewertung der Webseite zu verbessern, indem sie an entsprechende Stellen Schlagworte einfügen und die Webseitenstruktur für Suchmaschinen freundlich gestallten (z.b. keine dynamischen Menus etc.). Des Weiteren besteht die Möglichkeit gezielt Links in die Webseite einzubauen, die in der Version für menschliche Betrachter nicht gewünscht sind. SEO-Netze Durch gezieltes Ausnutzen von Wissen über die verwendeten Bewertungsalgorithmen von Suchmaschinenbetreibern sind Black-Hat-SEO-Betreiber in der Lage, eine Vernetzungsstruktur von eigenen Webseiten zu etablieren, die optimal im Hinblick auf die Platzierung eigener Seiten in den Suchergebnissen ist. Um eine optimale Position in den Suchergebnissen zu erzielen nutzen die Black-Hat- SEO-Betreiber unter anderem SEO-Netze. Ein SEO-Netz besteht dabei aus einer 12.Deutscher IT-Sicherheitskongress des BSI 3

4 Menge von Webseiten und Links zwischen diesen Webseiten. In [1] wird dabei untersucht, wie eine solche optimale Struktur aussehen sollte. Ein SEO-Netz kann als Graph G=(V, E) repräsentiert werden, in dem die Knoten (V) die Webseiten und die gerichteten Kanten (E) die Links zwischen den Webseiten darstellen. Eine schematische Darstellung eines solchen SEO-Netzes ist in Abbildung 2 dargestellt. Die Webseiten A, B, C und D sind dabei Webseiten innerhalb des SEO-Netzes. FS ist die zu fördernde Webseite. In diesem Beispiel ist die Webseite FS nicht selbst die Quelle einer Malware, sondern bindet z.b. einen versteckten IFrame ein, welcher die Malware von der Webseite MS lädt. Wie alles zusammenspielt Abbildung 2: Schematisches SEO-Netz Da Black-Hat-SEO-Betreiber ihr Spuren verwischen wollen, nutzen sie SEO-Netze zusammen mit sogenannten Cloaking-Techniken, um sich zu tarnen. Sie bauen ein quasi verstecktes SEO-Netzwerk auf, das zwar für den Suchmaschinen-Crawler sichtbar ist, nicht jedoch für menschliche Besucher, um Aufsehen zu vermeiden. Des Weiteren werden die Webseiten so programmiert, dass sie für menschliche Besucher harmlos aussehen, für Suchmaschinen-Crawler hingegen hoch optimierte Versionen ohne inhaltlichen Zweck ausliefern. Zur Erläuterung des Vorgehens wird im nächsten Abschnitt ein Beispiel-Angriff diskutiert. Beispielhafter Angriff Der Black-Hat-SEO-Betreiber möchte eine Webseite zum Thema A fördern, die unter der Adresse l erreichbar ist. Dabei wird auf die Methode des Domainkaufes zurückgegriffen, um die Popularität dieser Webseite zu steigern. Im ersten Schritt wird also versucht Domains, welche thematisch passend sind, in den kürzlich ausgelaufenen Domains (Expired Domains) zu finden. Um diesen Schritt ausführen zu können, sind Schlagworte zum Thema A der zu fördernden Webseite erforderlich. Hierfür kann auf Tools wie Schlagwortdatenbanken zurückgegriffen werden, in denen Informationen 4 12.Deutscher IT-Sicherheitskongress des BSI

5 wie der Link-Status und das Google Ranking hinterlegt sind. Mit den neu gewonnenen Schlagworten werden Google-Suchanfragen gestartet, um den Schlagworten Domainnamen zuzuordnen. Diese werden anschließend bei einem Domain-Registrar überprüft und, wenn sie frei sind, registriert. Wurden entsprechende Domains gefunden und registriert, folgt im nächsten Schritt der Linkaufbau zu einem SEO-Netz. Dabei werden in die bestehenden Webseiten einzelne gut platzierte Links auf die Webseite l eingefügt und Links zu Konkurrenzseiten entfernt. Des Weiteren wird eine optimale Verlinkung innerhalb des SEO-Netzes angestrebt. Der Angreifer sorgt also dafür, dass die Mitgliederseiten seines SEO-Netzes Links auf die Webseite l enthalten. Gleichzeitig werden, wenn möglich, versteckte Links in die Webseite l integriert, die wieder zurück in das SEO-Netz zeigen. Auf diese Art wird eine optimale Vernetzung erreicht. Als Alternative zum Kauf ausgelaufener Domains mit einem thematisch passenden Suchmaschinen-Ranking, werden passende Webseiten gezielt angriffen, und, oftmals unbemerkt, versteckte Links auf geförderte Webseite in diese Webseiten integriert. 3. Ansatz zur Identifizierung Der vom SEODisc-System verwendete Ansatz zur Erkennung von SEO-Attacken beruht auf der Analyse der unterschiedlichen Versionen einer Webseite. In einem zweistufigen Verfahren wird für Webseiten zunächst versucht herauszufinden, ob sie Cloaking-Techniken einsetzten. Dazu wird die im Folgenden beschriebene Differenzanalyse zusammen mit weiteren Analysemethoden eingesetzt. Zunächst wird eine Webseite mit vier verschiedenen emulierten User-Agents insgesamt fünf Mal abgerufen. Dabei sei W G die Webseite, welche an den Google- Crawler ausgeliefert würde, W FF die FireFox Webseitenvariante, W IE die Version für den Internet Explorers und W N1 und W N2 die Webseiten, welche einem neutralen User- Agent präsentiert würden. Diese Webseitenversionen bilden die Grundlage für die Differenzanalyse. Differenzanalyse Bei der Differenzanalyse (Da) werden stets zwei Versionen (W a und W b ) einer Webseite miteinander verglichen, um die Unterschiede in den Webseiten zu erkennen. Von Interesse sind dabei nur die Unterschiede in den verwendeten Links der Webseite. Daher werden in einem ersten Schritt aus beiden Versionen der Webseite alle Links extrahiert. Man erhält für jede Webseite eine Menge an Links L a und L b. Diese beiden Mengen werden anschließend miteinander verglichen und jene Links zurückgeliefert, welche in L a und nicht in L b sind. Im Folgenden werden diese Links als -Links bezeichnet. Die Menge der -Links zwischen der Webseitenversion a und b lässt sich somit definieren als DL a,b = L a \ L b. In Abbildung 3 wird das Prinzip der -Links in Form eines Mengenschnittdiagramms verdeutlicht. 12.Deutscher IT-Sicherheitskongress des BSI 5

6 Inverse Differenzanalyse Abbildung 3: Mengenschnittdiagramm Da das Konzept der Differenzanalyse aufgrund der nicht vorhandenen Kommutativität der zugrunde liegenden Mengendifferenz nicht kommutativ ist, wird die inverse Differenzanalyse (ida) definiert als Da(a,b) = ida(b,a). Referrer-Analyse Bei einem Wechsel der Webseite durch den Benutzer folgt dieser in den meisten Fällen einem Link auf eine andere Webseite. Aus der Sicht einer Zielwebseite, auf die der Benutzer durch einen Link in einer Quellwebseite weitergeleitet wurde, wird die Quellwebseite als Referrer bezeichnet. Da der Referrer bei der Abfrage der Zielwebseite übermittelt wird, kann der Inhalt der Ziewebseite in Abhängigkeit von Referrer gestaltet werden. Um die Auswirkungen der Quelle (des Referrers) eines Webseitenbesuches zu untersuchen, wurde eine Referrer-Analyse durchgeführt. Beim Webseitenabruf wurde die Webseite pro Browserversion einmal mit der Google-Suche zu den Schlagworten, welche zum Auffinden der Webseite geführt haben, und einmal als direkter Aufruf ohne gesetzten Referrer gespeichert. Im Anschluss daran werden die Da und ida erneut auf den Webseitenversionen mit gesetztem Referrer durchgeführt. Schlagwortanalyse Die Schlagwortanalyse betrachtet die relative Dichte an verwendeten Schlagworten in einer Webseitenvariante. Da zu jeder Webseite, welche vom SEODisc-System analysiert wird, beim Auffinden dieser Webseite die assoziierten Schlüsselwörter gespeichert werden, kann die Schlagwortdichte berechnet werden, indem die Anzahl an Schlüsselwörtern bezogen auf die gesamte Wortzahl einer Webseite berechnet wird. Ab einem bestimmten Schwellenwert wird die Webseite als Suchmaschinenoptimiert angesehen. Berechnung des Boshaftigkeitswertes für eine Webseite Aus den oben beschriebenen Analysen wird für jede Webseite ein Boshaftigkeitswert berechnet. Dieser ist ein Maß für die boshafte Suchmaschinenoptimierung. Je höher der Wert, desto mehr Indizien sprechen für eine boshafte Suchmaschinenoptimierung. Zunächst wird das Ergebnis der Da und ida überprüft. Es werden die -Links für die folgenden Kombinationen berechnet: 6 12.Deutscher IT-Sicherheitskongress des BSI

7 Da(W G,W IE ) Da(W G,W FF ) Da(W G, W N1 ) Da(W N1, W N2 ) ida(w G,W IE ) ida(w G,W FF ) ida(w G, W N1 ) ida(w N1, W N2 ) Mit den dabei gewonnenen -Links wird zunächst überprüft, ob die Anzahl an Links in den einzelnen Webseitenversionen identisch ist. Wenn z.b. in der Google-Version einer Webseite mehr Links enthalten sind als in der Internet-Explorer-Version einer Webseite, dann ist die Anzahl an -Links der entsprechenden Da und ida unterschiedlich. Sind hingegen gleich viele Links in den Webseiten enthalten, ist die Anzahl an -Links identisch. Auf diese Weise kann für die einzelnen Kombinationen überprüft werden, ob zusätzliche Links in die Webseite eingebaut werden. Dies ist ein klares Indiz dafür, dass die Auslieferung der Webseite vom verwendeten User-Agent abhängig ist. Um Webseiten mit dynamischen Inhalten zu berücksichtigen wird zusätzlich eine Differenzanalyse und eine inverse Differenzanalyse zwischen den beiden Versionen der Webseite gemacht, die mit dem neutralen emulierten User-Agent abgerufen wurden. Die Anzahl an -Links in diesen Vergleichen wird als neutral angenommen und wird von der Anzahl an -Links der einzelnen Versionen abgezogen. Falls nun nach Abzug der Anzahl an neutralen -Links noch mehr -Links vorhanden sind als durch einen Schwellenwert definiert, wird die Webseite als bösartig eingestuft und ihr wird ein Boshaftigkeitswert E(W) zugeordnet, welcher abhängig ist von der Anzahl an -Links in der Webseite. Je mehr -Links enthalten sind, desto höher wird der E(W)-Wert angesetzt. Neben der Differenzanalyse und der inversen Differenzanalyse fließt auch das Ergebnis der Referrer-Analyse mit in die Berechnung von E(W) ein. Für die Referrer- Analyse wird überprüft, ob die Anzahl an -Links identisch ist, falls die Webseite einmal direkt und einmal über eine entsprechende Google-Suche aufgerufen wird. Werden keine Unterschiede festgestellt verhält sich die Webseite gutartig. Ist hingegen die Anzahl an -Links unterschiedlich, deutet dies darauf hin, dass die Webseite einen Unterschied macht, von wo ein Benutzer auf die Webseite geleitet wird. Diese Unterscheidung kann von Angreifern dazu verwendet werden sicherzustellen, dass die Betreiber einer Webseite nicht ungewollt Ziel eines Angriffs und somit auf die Manipulation an der Seite hingewiesen werden. Diese Unterscheidung basiert auf der Annahme, dass im Normalfall die Eigentümer von Webseiten nicht über die Google Suche auf ihre Webseite zugreifen, sondern entweder durch die direkte Eingabe der URL in die Adresszeile des Browsers oder durch die Verwendung von Bookmarks. In beiden Fällen ist der Referrer unterschiedlich von dem einer Google-Suche. Wenn nun die Webseiten abhängig von der Quelle des Seitenaufrufs ein unterschiedliches Verhalten an den Tag legen, wird dies bei der E(W)-Berechnung der Webseite mit einem festen Malus berücksichtigt. 12.Deutscher IT-Sicherheitskongress des BSI 7

8 SEODisc: Analyse SEO vergifteter Suchmaschinenergebnisse Die letzte betrachtete Analyse ist die der relativen Schlagwortdichte. Zu diesem Zweck wird wie oben beschrieben die relative Schlagwortdichte für jede der Versionen einer Webseite bestimmt. Falls nun die relative Schlagwortdichte in der Google-Version einer Webseite markant höher ist als jene in den an übliche Browser ausgelieferten Versionen, wird dies als Indiz für Suchmaschinenoptimierung verstanden und die Webseite wird hierfür ebenfalls mit einem festen Malus im E(W)-Wert bewertet. Abbildung 4: Menge an SEO-Netzen SEO-Netz-Analyse Links, die in der Differenzanalyse oder der inversen Differenzanalyse gefunden wurden, werden zur Analyse in einen Graphen G=(V, E) als gerichtete Kanten eingefügt. Dabei werden die Webseiten durch Knoten repräsentiert. Die Kanten stehen für die Links. Jeder Webseitenadresse wird dabei eine eindeutige ID zugewiesen, so 8 12.Deutscher IT-Sicherheitskongress des BSI

9 SEODisc: Analyse SEO vergifteter Suchmaschinenergebnisse dass Links auf die gleiche URL auch auf die gleiche ID abgebildet werden. Beim Einfügen dieser Links ergibt sich ein Graph, der aus vielen einzelnen Teilgraphen besteht, die untereinander nicht verbunden sind. Ein Beispiel ist in Abbildung 4 dargestellt. Abbildung 5: Beispiel eines Teilgraphen Im nächsten Schritt wird der Gesamtgraph in seine einzelnen Teilgraphen zerlegt. Dafür wird der Graph zunächst in einen ungerichteten Graphen überführt um anschließend auf dem ungerichteten Graphen die Zusammenhangskomponenten zu bestimmen. Auf diese Art erhält man eine Menge von Teilgraphen, welche weiter analysiert werden können. Abbildung 5 zeigt ein Beispiel eines solchen Teilgraphen. Die Nummern in den Knoten des Teilgraphen sind die einzelnen URL-IDs. Die Einfärbung der Knoten spiegelt die berechnete Boshaftigkeit des Knotens wieder. Je dunkler ein Knoten eingefärbt ist, desto mehr Kriterien in der vorherigen Analyse der Seite sprechen für eine Suchmaschinenoptimierung, in der Hinweise auf verdeckte SEO-Netze vorhanden sind. In der Analyse werden nur die -Links von den 12.Deutscher IT-Sicherheitskongress des BSI 9

10 eingezeichneten Webseiten betrachtet, d.h. nur solche Links, die unter Cloaking Verdacht stehen. Als nächstes werden in diesem Graphen Authorities und Hubs gesucht. Unter einer Authority wird dabei eine Webseite zu einem Thema verstanden, die Ziel von vielen Links ist, welche von themenverwandten Webseiten ausgehen. Der Begriff Hub spielt eine ähnliche Rolle. Eine Webseite wird als Hub bezeichnet, wenn sie viele ausgehende Links zu themenverwandten Webseiten besitzt. Die Begriffe Hub und Authority sind in Abbildung 6 veranschaulicht. Typische Hubs im Internet sind Webverzeichnisse wie z.b. Yahoo, welche zu einem Thema viele ausgehende Links auf relevante Webseiten liefern. Abbildung 6: Authority vs. Hub In einem SEO-Netz besitzen die Authorities eine besondere Bedeutung. Ihnen kommt die Förderung, die durch die Vernetzungsstruktur erzielt wird, zugute. Ihr Ranking steigt somit im Vergleich zu den anderen Webseiten. Somit sind diese Webseiten von Interesse, wenn in SEO-Netzen gezielt nach Webseiten zur Malware-Verbreitung gesucht werden soll. Ein Kriterium für die Bewertung eines SEO-Netzes ist daher die Existenz mindestens einer Authority. Da die Crawler von Suchmaschinen der Linkstruktur von Webseiten folgen, um neue Webseiten ausfindig zu machen, ist es wichtig, dass Webseiten eines SEO-Netzes untereinander über einen Pfad erreichbar sind. Dadurch wird gewährleistet, dass der Suchmaschinen-Crawler alle Webseiten eines SEO-Netzes auffinden kann. Die einfachste Form so eine Erreichbarkeit zu erzielen, ist es einen Zyklus in das SEO- Netz einzubauen. Aus diesem Grund wird jeder Teilgraph auf Zyklen untersucht. Wird ein Zyklus gefunden wird dieser Teilgraph als SEO-Netz klassifiziert. Neben der Suche nach verdächtigen Seiten innerhalb eines SEO-Netzes wird auch versucht das SEO-Netz zu expandieren. Aus diesem Grund wird für jeden Knoten zunächst eine ausgehende Boshaftigkeit berechnet. Sei O die Anzahl ausgehender Kanten des Knotens W, dann ist E out (W) = E(W) / O. Nach der Berechnung der ausgehenden Boshaftigkeit kann somit die eingehende Boshaftigkeit eines Knotens Deutscher IT-Sicherheitskongress des BSI

11 berechnet werden. Diese ist die Summe aller ausgehenden Boshaftigkeiten der Knoten, welche über eingehende Kanten mit dem betrachteten Knoten verbunden sind. Ist der Wert der eingehenden Boshaftigkeit über einem Schwellenwert, wird die Webseite zur genaueren Analyse im nächsten Analysezyklus betrachtet. Auf diese Weise ist es möglich SEO-Netze zu expandieren und zwar über die Webseiten, welche ein hohes Potential haben weitere Links innerhalb des SEO-Netzes zu besitzen. Die Liste der Authorities eines SEO-Netzes wird anschließend für die Begutachtung von externen Malwareanalysesystemen wie z.b. MonkeyWrench exportiert. Das MonkeyWrench System wird in [3, 9, 10] beschrieben. Auf diese Art können durch dedizierte Analysesysteme gezielt Kandidaten für Malware-Seiten untersucht werden. 4. Experiment / Ergebnis Im durchgeführten Experiment wurden in zwei Analysezeiträumen insgesamt Webseiten analysiert und bewertet. Für die Auswahl an Webseiten und Schlagworten wurde auf den Service Google Trends zurückgegriffen. Hierbei wurden jede Stunde die aktuellen Hot Searches und Hot Trends abgefragt und anschließend eine Websuche bei der Suchmaschine Google zu den gewonnenen Schlagworten durchgeführt. Aus den Suchergebnissen wurden die Top-20-Resultate extrahiert und die somit gewonnenen Links mit dem SEODisc-System untersucht. Google Trends [7] ist ein Dienst, welcher für den amerikanischen Raum Suchanfragen und bestimmte soziale Netzwerke und Nachrichtenseiten auswertet, um daraus Informationen über die aktuell relevanten Themen im Internet zu extrahieren. Für die Hot Searches werden die durchgeführten Websuchen analysiert. Es werden jene Schlagworte in die Hot Searches mit aufgenommen, welche im Vergleich zur durchschnittlichen Anzahl an Suchen mit diesen Schlagworten einen starken Anstieg in der Suchfrequenz haben. Dadurch werden nur die Schlagwörter angezeigt nach denen vermehrt gesucht wird und allgemeine Begriffe wie Weather werden ausgeblendet, da diese im mittel schon sehr häufig gesucht werden. Google Trends verwendet für die Hot Topics aggregierte Daten aus verschiedenen sozialen Netzwerken wie Twitter und Facebook sowie Daten aus ausgewählten Nachrichtenportalen. Hieraus werden die Schlagworte extrahiert, zu welchen aktuell am meisten publiziert wird. Diese Schlagworte werden dann unter Google Trends als Hot Topics zur Verfügung gestellt. Für das Experiment wurden stets die Schlagwortkombinationen der Top 20 Hot Searches sowie der Top 20 Hot Topics verwendet, um mit Mithilfe dieser 40 Schlagwortkombinationen eine Websuche zu starten. Anschließend wurden aus jeder Websuche die Top-20-Suchergebnisse betrachtet. Somit wurden pro Stunde 800 Kandidatenwebseiten generiert, welche betrachtet wurden. In den insgesamt untersuchten Webseiten wurden 43 SEO-Netze gefunden, welche den oben beschriebenen Kriterien genügen. Diese SEO-Netze wurden anschließend auf ihre Boshaftigkeit untersucht. Zu diesem Zweck wurden die 12.Deutscher IT-Sicherheitskongress des BSI 11

12 Authorities sowie die Webseiten mit den höchsten E(W) Werten sowohl an VirusTotal [4] als auch an MonkeyWrench [3, 9, 19] zur weiteren Auswertung gesendet. Dabei stellte sich heraus, dass die Webseiten keine Malware direkt verbreiten. Dieses Ergebnis bestätigte die Vermutungen, dass die Authorities in einem SEO-Netz nicht direkt die Malware verbreiten, sondern z.b. durch eingebettete IFrames oder Links auf Malwareseiten zur tatsächlichen Infektion führen. Unter dieser Annahme ist es nachvollziehbar, dass die Authorities selber bei einer Analyse durch die beiden Systeme als unauffällig klassifiziert wurden. 5. Zusammenfassung und Ausblick Malware wird vermehrt über bösartige Webseiten verbreitet. Um Besucher auf bösartige Webseiten zu locken manipulieren Malware-Autoren Suchmaschinenergebnisse mit SEO-Techniken. Davon ausgehend wurde in diesem Beitrag ein Ansatz zur Erkennung manipulierter Suchmaschinenergebnisse vorgestellt und untersucht. Die entwickelten und im SEODisc-System implementierten Analyseverfahren vorgestellt. Die Grenzen des Ansatzes spiegeln sich in zwei grundlegenden Annahmen wider. Zum Einen basiert das System auf der Annahme, dass eine Emulation des Google-Crawlers mittels des emulierten User-Agents ausreichend ist. Überprüft eine Webseite neben dem User-Agent auch die IP-Adresse, so ist die Emulation für eine Webseite erkennbar. Zum Anderen wird die Annahme getroffen, dass mittels der Differenzanalyse Cloaking-Techniken aufgedeckt werden können. Im Beitrag wurde eine experimentelle Evaluation des Ansatzes beschrieben, die belegte, dass der Ansatz in der Lage ist SEO-Netze zu erkennen, jedoch nicht unterscheiden kann, ob ein SEO-Netz gutartig oder bösartig ist. Die zugrunde gelegte Annahme, dass Links, welche in der Differenzanalyse auffällig geworden sind, ausschließlich bösartige SEO-Netze bilden, ließ sich nicht bestätigen. Des Weiteren konnte bei der Überprüfung der Authorities der SEO-Netze im Experiment keine Malware-Verbreitung festgestellt werden. Dies kann damit begründet werden, dass die zu fördernden Webseiten eines SEO-Netzes nicht direkt Malware hosten, sondern vielmehr das Tor zur Verbreitung von Malware sind. An dieser Stelle können die Verbreiter von Malware z.b. durch die Nutzung von Exploit Kits wie dem ICE-Pack (vgl. [8]) eine weitere Unterscheidung treffen, ob ein Exploit ausgeliefert werden soll oder nicht. Entsprechend bedarf es hier weiterer Forschungsarbeit. Ein zu untersuchender Ansatz besteht darin, alle ausgehenden Links einer Authority eines SEO-Netzes zu überprüfen. Weiterhin sollten Experimente mit weiteren User-Agents durchgeführt werden. So wurden die im Experiment verwendeten User-Agent-Strings des FireFox und Internet Explorers willkürlich gewählt. Ein interessantes Untersuchungsziel besteht darin, gezielt Webseiten zu suchen, die eine bestimmte Browser-Schwachstelle ausnutzen. Hierzu müsste der Abruf der Webseite jeweils mit einer emulierten angreifbaren Version und einer emulierten nicht angreifbaren Version eines Browsers durchgeführt werden Deutscher IT-Sicherheitskongress des BSI

13 Literaturhinweise [1] Gyöngyi, Z; Garcia-Molina, H: Link Spam Alliances, In: 31st International Conference on Very Large Data Base (VLDB 2005), S , ACM, [2] Meyer, M; Erkennung bösartiger Webseiten durch Analyse SEO vergifteter Suchmaschinenergebnisse, TU Dortmund, Diplomarbeit, [3] Büscher, A; Meier, M; Benzmüller, R: MonkeyWrench Bösartige Webseiten in die Zange genommen. In: Sichere Wege in der vernetzten Welt - Tagungsband zum 11. Deutschen IT- Sicherheitskongress, S , [4] VirusTotal: [5] List of UserAgents: [6] Fraser, H; Komili, O: Poisened search results: How hackers have automated search engine poisoning attacks to distribute malware, [7] Google Trends: [8] Martinez, V.: Ice Pack uncovered. blogs/images/pandalabs/2007/12/18/icepack.pdf, Dec [9] Büscher, A.: Analyse der Ausnutzung von Javascript-basierten Verwundbarkeiten in Webbrowsern mittels low-interaction Honeyclients. Diplomarbeit, TU Dortmund, [10] Büscher, A.; Meier, M.; Benzmüller, R.: Throwing a MonkeyWrench into Web Attackers Plans. In Proc. of the 11th Joint IFIP TC6 and TC11 Conference on Communications and Multimedia Security (CMS 2010), S , LNCS 6109, Springer, Deutscher IT-Sicherheitskongress des BSI 13