你搜尋到的網站是真的嗎？趨勢科技與日本合作揭發 SEO 惡意程式與假購物網站詐騙黑幕

SEO毒化，也稱為SEO作弊，簡單講就是欺騙 Google 等搜尋引擎,採用暗黑作弊手法,讓網站的搜尋結果排名出現在前段班。「奧運 」、「地震 」、「水災」、「口罩」、「血氧機」「midjourney」、「LINE」、「Costco 好市多 」、「diablo 暗黑破壞神 」、「Telegram 」、「Amazon 」….這些曾被搜尋詐騙利用的關鍵字,有個共同特性:有特定族群的網路聲量或是高關心度新聞時事爆紅的關鍵字，有一定的搜尋量。

趨勢科技研究人員與日本政府機關合作，分析了一些將使用者帶往假購物網站的 SEO 毒化攻擊所使用的多個 SEO 惡意程式家族，找出它們之間的關聯。

進入正文前先提醒台灣民眾，與SEO毒化不同的是，也有駭客集團以購買關鍵字廣告的方式將網路釣魚網站出現在搜尋結果前幾名的案例，藉以竊取信用卡等個資。

台灣發生過的案例：
駭客跟你一起關心的【熱搜關鍵字】！
Google 搜尋金石堂,第一條竟是山寨官網!專騙帳密、信用卡等個資
搜尋” LINE”,跳出相似度超逼真 LINE 釣魚詐騙網站,意圖盜帳號密碼！

請安裝可搶先攔截惡意網址的防毒軟體：趨勢科技 PC-cillin。

重點預覽

• 趨勢科技與日本香川大學 (Kagawa University)、神奈川縣警察本部 (Kanagawa Prefectural Police Headquarters)、千葉縣警察本部 (Chipa Prefectural Police Headquarters) 以及日本網路犯罪管制中心 (Japan Cybercrime Control Center) 合作執行了一項研究，調查了多個 SEO 惡意程式家族之間的關係。
• 該研究揭發了駭客如何利用 SEO 毒化手法將使用者導向假電子商務網站。
• 研究人員發現了三個集團，每個集團皆有其專屬的惡意程式家族，且其中一個家族還使用了多個惡意程式家族。
• 根據進一步的分析顯示，其中一個惡意程式家族的幕後操縱 (CC) 伺服器共用了少數幾個大型的假電子商務網站，有別於其他惡意程式家族各有自己獨立的清單。
• 這些發現都詳細發表在 2024 年第 7 屆 IEEE「可靠而安全的運算」(Dependable and Secure Computing) 研討會上，並榮獲最佳論文獎 (Best Paper Award)。
  
  

趨勢科技研究人員最近執行了一項研究專案來探討多個黑帽駭客搜尋引擎最佳化 (SEO) 惡意程式家族之間的關係。藉由分析來自各種 SEO 惡意程式與假購物網站的之間的幕後操縱 (CC) 伺服器資料，他們找出了幾個不同的 SEO 惡意程式家族集團，以及這些家族如何共用基礎架構來讓其 SEO 毒化攻擊發揮最大成效，以及這些惡意程式在電子商務聯合詐騙中所扮演的角色。

這項專案是與日本多家機構合作共同執行，分別為：香川大學 (Kagawa University)、神奈川縣警察本部 (Kanagawa Prefectural Police Headquarters)、千葉縣警察本部 (Chipa Prefectural Police Headquarters) 以及日本網路犯罪管制中心 (Japan Cybercrime Control Center，簡稱 JC3)。其研究報告的標題為「利用假電子商務詐騙網站重導資訊分析黑帽駭客 SEO 惡意程式家族之間的關係」(An analysis of the relationship between Black-hat SEO malware families leveraging information from redirected fake E-commerce scam sites)，發表在第 7 屆 IEEE「可靠而安全的運算」(Dependable and Secure Computing) 研討會 (DSC2024)，研究人員因其貢獻而榮獲了「最佳論文獎」(Best Paper Award )。

本文摘要說明該論文的內容、分析結果以及關鍵貢獻，更進一步的詳情請參閱原始論文。

利用 SEO 毒化手法的日本假電子商務詐騙

近來，專為竊取個人資訊的假電子商務網站詐騙數量不斷增加，為社會大眾帶來嚴重的財務損失。除此之外，日本地區通報的假電子商務網站數量也在不斷增加：根據 JC3 的一份報告，JC3 在 2023 年接獲了 47,278 個假電子商務網站通報，比前一年的 28,818 個網站更多。

某些假電子商務網站背後的駭客集團會在已遭駭入的網站上安裝惡意程式來用於 SEO 毒化：這些惡意程式會執行 SEO 毒化攻擊，讓搜尋引擎顯示駭客的誘餌頁面，這些頁面看起來就像是已遭入侵的網站上的網頁一樣。接著，誘餌網頁會將使用者從搜尋引擎帶到假電子商務網站，進而受害。在這份研究中，我們主要探討使用這類手法的駭客集團，並將已遭入侵的網站上執行的這類惡意程式稱為「SEO 惡意程式」。

這些 SEO 惡意程式會被安裝到已遭入侵的網站上，來攔截網站伺服器收到的請求，並傳回惡意內容。如此一來，駭客就能發送一份精心製作的網站地圖給搜尋引擎，幫其產生的誘餌網頁製作索引。如此就能污染搜尋結果，讓被駭入的網站網址出現在某些產品的搜尋結果中，但他們實際上並沒有這些產品。結果，搜尋引擎的使用者就會被引導至這些網站。接著，SEO 惡意程式會攔截網站請求處理程序，將使用者的瀏覽器導向假電子商務網站。尤其，駭客會所謂的日文關鍵字詐騙技巧，使用日文關鍵字將搜尋結果重導至假的日本電子商務網站。

分析與結果

在這份研究中，我們主要探討這項黑帽駭客 SEO 技巧，目的是要讓大家知道其幕後駭客集團的特徵。為此，我們從 6 個 SEO 惡意程式家族的 1,242 個 CC 伺服器蒐集了 227,828 個假電子商務網站的資料 (表 1)。蒐集之後，我們馬上改進了我們網站信譽評等服務 (WRS) 的技術來攔截這些網站以防止使用者存取。

惡意程式家族識別碼 (ID)	識別特徵
A	CC 主機的格式為「<four digits>-ch4-v<two or three digits>」，其中的數字會隨著時間而增加，有時，會套用某種加密編碼演算法。
B	透過 HTTP POST 請求與 CC 伺服器通訊，CC 伺服器網址含有一個像「z<five digits> <one or two digits>」這樣的字串。
C	使用一個名為「doutdo」或「smoutdo」的函式，CC 伺服器網址是一個寫死的 rot13 編碼的十六進位字串。
D	當收到「/jp2023」這個請求時會回覆 CC 伺服器主機的部分名稱，以及「ok」。CC 主機名稱包含 3 至 4 個前綴字元，後面再跟著 3 位數字。
E	當收到「/jp2023」這個請求時會回覆 CC 伺服器主機的部分名稱，以及「beautiful」。某些變種在處理「/jp2023」時並無寫死的部分，CC 主機名稱包含 3 或 4 個前綴字元，後面再跟著 3 位數字。
F	當收到「/jp2023」這個請求時會回覆從 CC 伺服器主機所擷取的內容。CC 主機名稱包含「cw」字樣，後面再跟著 3 位數字。

接著，我們利用 Maltego 這個熱門的連結分析工具來分析它們之間的關聯。我們定義了四個連結來製作一個 Maltego 圖形，如圖 1 所示。實驗的結果 (圖 2) 顯示，有三個駭客集團都只使用其專屬的某個惡意程式家族，但有一個集團使用了多個惡意程式家族。

此外，藉由這項分析所找到的集團以及來自假購物網站的資料，我們就能深入了解犯罪集團的基礎架構：例如，儘管惡意程式 A、C、D、E 和 F 各自有其獨立不同的 CC 伺服器以及假購物網站清單，但惡意程式 B 的 CC　伺服器似乎會共用同一份大型假購物網站清單。

不確定所看到的第一個網頁是否為詐騙？ AI 防詐達人一鍵辨真偽

電子商務使用者在使用搜尋引擎尋找產品以及第一次使用某個購物網站時，務必非常小心，以避免成為假購物網站的受害者。使用者應該留意網站是否出現一些詐騙行為的徵兆，例如：

• 含有不尋常網域名稱的可疑網址。
• 與產品正常市價相比，價格異常便宜。
• 一些各大購物網站通常不會販售的產品卻以折扣價販售。
• 並非大型零售網站，但卻刊登了大量的各種產品。
• 假冒知名品牌的網站。
• 自稱為某種「專賣店」的網站，但銷售的卻是完全無關的商品。
• 網站資訊與該公司登記資訊和地點不符。

使用者可利用趨勢科技 AI 防詐達人來確認網站的真偽。除此之外，趨勢科技的網站信譽評等服務 (WRS) 還能防止使用者遇到假購物網站，不讓使用者連上冒牌的購物網站。

對網站而言，其系統管理員應隨時留意帳號盜用與網站漏洞，以防止網站遭到入侵。系統管理員應隨時掌握最新的漏洞資訊，並且使用複雜的密碼。此外，還有 Trend Micro Deep Security™ 可提供虛擬修補來保護伺服器因為未修補的漏洞與功能而遭到入侵，並監控非預期的系統變更，及早偵測及處理可疑的活動。

趨勢科技將繼續秉持確保今日連網世界安全的使命，與各種機構密切合作來解決假購物網站所造成的損害。

AI 防詐防毒

趨勢科技PC-cillin雲端版 運用最新 AI 防毒防詐技術，全面保護您的身分隱私，讓您享受上網安心點。

不只防毒也防詐騙 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用

獨家 AI 隱私權分析技術 讓您的個資，由你自己掌握
社群帳號盜用警示 在災害擴大前，搶先一步做好防範
全球個資外洩追蹤 24小時為您監測守護
跨平台密碼安全管理讓 您安心儲存所有網路帳密