T1608.006: SEO 投毒

摘要

攻击者可能对影响搜索引擎优化（SEO）的机制进行投毒，以进一步将已投放的能力引诱向潜在受害者。搜索引擎通常根据购买的广告以及其 Web 爬虫和算法计算的站点排名/评分/声誉向用户显示结果。(Citation: Atlas SEO)(Citation: MalwareBytes SEO) 为帮助促成[路过式攻陷](https://attack.mitre.org/techniques/T1189)，攻击者可能投放显式操纵 SEO 排名的内容，以在搜索引擎中推广托管其恶意有效载荷的站点（如[路过式目标](https://attack.mitre.org/techniques/T1608/004)）。对 SEO 排名投毒可能涉及各种伎俩，例如将关键词（包括以隐藏文本形式）填充到被攻陷的站点中。这些关键词可能与预期受害者的兴趣/浏览习惯有关，也可能是更广泛的、季节性流行的主题（例如选举、热门新闻）。(Citation: ZScaler SEO)(Citation: Atlas SEO) 除了互联网搜索引擎（如 Google）外，攻击者还可能试图操纵开发者平台（如 GitHub）的特定站内搜索，以将用户欺骗到[供应链攻陷](https://attack.mitre.org/techniques/T1195)诱饵处。站内搜索会根据其自身的算法和指标（如流行度）对搜索结果进行排名 (Citation: Chexmarx-seo)，这可能被恶意行为者针对和操纵。(Citation: Checkmarx-oss-seo) 攻击者还可能购买或植入指向已投放能力的入站链接，以提高站点计算出的相关性和声誉。(Citation: MalwareBytes SEO)(Citation: DFIR Report Gootloader) SEO 投毒还可能结合规避性重定向和其他伪装机制（例如测量鼠标移动，或根据浏览器用户代理、用户语言/本地化设置或 HTTP 标头提供内容），以便为 SEO 输入提供素材，同时避免防御者的审查。(Citation: ZScaler SEO)(Citation: Sophos Gootloader)