Поисковое отравление

Схема рассчитана на доверие к поиску: человек скорее откроет первый результат по запросу «скачать бланк декларации», чем ссылку из подозрительного письма. Злоумышленники создают страницы под популярные и трендовые запросы — новости, бесплатные программы, шаблоны документов, — и любыми способами поднимают их в выдаче. С такой страницы посетитель попадает на фишинговую форму, скачивает заражённый файл или уходит на мошеннический сайт.

При чём тут обычные сайты

Собственные домены атакующих быстро попадают в чёрные списки, поэтому им нужны чужие сайты с историей и доверием поисковиков. Взломанный сайт на устаревшей CMS становится площадкой для сотен дорвеев. Владелец часто ничего не замечает: вредоносные страницы скрыты от него, а редирект на мошеннический ресурс срабатывает только для посетителей из поиска. Показ разного содержимого роботу и человеку — это клоакинг, классический приём таких атак.

Признаки заражения

• В выдаче по запросу site:вашдомен.ru появились страницы на чужие темы — казино, лекарства, иероглифы.
• В кабинетах вебмастера пришло предупреждение о проблемах безопасности или опасном содержимом.
• Посетители жалуются, что их перебрасывает на другой сайт, хотя при прямом заходе всё в порядке.
• В логах сервера — всплеск запросов к адресам, которых на сайте не должно быть.

Как проверить

Простой тест — запросить страницу так, как её видит робот поисковика, и сравнить с обычным ответом:

curl -s -A "Googlebot" https://example.ru/ | grep -iE "casino|viagra|kazino"
curl -s -e "https://yandex.ru/" -o /dev/null -w "%{http_code} %{redirect_url}\n" https://example.ru/

Первая команда ищет спамные слова в версии для робота, вторая показывает, есть ли редирект для пользователя, пришедшего из поиска. Если что-то нашлось, нужна полная чистка файлов и базы, смена паролей и обновление CMS — частичная уборка обычно возвращает заражение через несколько дней. Подробно процесс описан на странице лечения сайта от вирусов.