Spam là thuật ngữ chung cho email, quảng cáo không mong đợi, không liên quan đến người dùng. Spam dùng cho nhiều tội phạm mạng. Đôi khi hacker dùng để lừa người mua hàng giả, click farming. Đôi khi spam làm ô nhiễm kết quả tìm kiếm của đối thủ. Spam thường nhắm người dùng qua ưu đãi hấp dẫn:-piramid, đa cấp, dược phẩm rẻ... Gần đây, chiến dịch Korean SEO spam quy mô lớn bị phát hiện. Đáng lo ngại: thủ thuật dùng để ô nhiễm kết quả tìm kiếm của web hợp pháp. Spammer ngày càng thông minh. Tác giả sách "Spam: A Shadow History of the Internet" nhận xét:
Bài viết liên quan – Cách gỡ Japanese SEO Spam/Keyword Hack khỏi website?
Bóc tách các lớp Korean SEO Spam
Spam SEO Hàn Quốc thường nhắm file CMS phổ biến như index.php, functions.php... Code ẩn trong định dạng base64. Giải mã base64, spam lại chứa lớp obfuscation khác như hình:
Hacker dùng comment "Signature For Report" để gây nhiễu người phân tích. Giải mã sâu hơn tiết lộ modus operandi của chiến dịch:
- Lấy từ khóa spam Hàn Quốc
- Cache chúng
- Cloaking - phục vụ nội dung khác nhau cho người truy cập khác nhau
Bài viết liên quan – Magento, OpenCart & Prestashop bị nhiễm SEO Spam?
Thành phần của Korean SEO Spam:
Lấy nội dung Spam
Link dùng để lấy nội dung keyword hack Hàn Quốc: hxxp://god.sm79[.]xyz/api.php?g=gitt. Truy cập link trả về nội dung base64 như hình:
Giải mã ra danh sách dài từ khóa Hàn Quốc và loại tiêm mã.
Mảng cấu hình nội dung Korean SEO Spam
Nội dung từ hxxp://god.sm79[.]xyz/api.php?g=gitt chứa nhiều mảng lớn. Giúp spammer tạo/phân phối nhiều loại spam. Một số mảng quan trọng:
1. Mảng cấu hình quy tắc spam (~199 quy tắc) - không bao giờ hết spam:
2. Mảng domain dùng để redirect user:
3. Mảng ~900+ từ khóa (309 trong mảng 1, 608 trong mảng 2). Từ khóa nổi bật: "call girls for travelers", "online gambling", "off-white merchandise"...
Định vị mục tiêu (Target Localization)
Chiến dịch này chỉ nhắm traffic từ Hàn Quốc. Code spam giải thích:
if(strpos(strtolower(@$_SERVER['HTTP_REFERER']), ".kr")
!== false || strpos(strtolower(@$_SERVER['HTTP_ACCEPT_LANGUAGE']), "ko") !== false){
...
die('<!DOCTYPE html><html><body><script>document.location=("'admin@wsxdn.com($sc_arr[0]).'");</script></body></html>');
}Dòng 1 kiểm tra request từ search engine Hàn Quốc (".kr"). Dòng 3 kiểm tra ngôn ngữ trình duyệt mặc định là Hàn ("ko"). Thỏa mãn thì redirect. Nội dung spam trước cũng chứa mảng thành phố Hàn Quốc để tùy chỉnh spam cho từng thành phố.
SERP của bạn bị ô nhiễm Korean SEO spam? Nhắn tin widget chat, chúng tôi sẵn sàng giúp sửa. Sửa web ngay.
Chó cũ, mánh mới (Old Dog, New Tricks)
Korean SEO spam tương đồng Japanese SEO spam: tạo spammy doorway trên nhiều web toàn cầu, bán dược phẩm rẻ, tuyên bố quyền sở hữu web bị xâm phạm.
Tuy tương tự Japanese SEO hack, Korean SEO spam có phương pháp mới đáng sợ: ô nhiễm kết quả tìm kiếm của web hợp pháp và KHÔNG bị xâm phạm. Một mảng cấu hình từ "hxxp://god.sm79[.]xyz/api.php?g=gitt" chứa ~500 site ngẫu nhiên. URL dạng: https://example.com/?s=[something]. Phần "/?s=search-string" yêu cầu WordPress tìm kiếm. Kẻ tấn công liên kết site ngẫu nhiên với từ khóa spam Hàn Quốc. Site không bị hack nên không trả kết quả cho từ khóa này. Nhưng trang "không tìm thấy" chứa từ khóa spam → Googlebot xếp hạng site cho từ khóa đó.
Ví dụ minh họa:
Trang chỉ nói "không tìm thấy truy vấn" nhưng chứa đầy đủ từ khóa spam. Cũng chứa tên site gmvcs[.]com được push trong chiến dịch. Tìm Google site này ra hàng triệu trang indexed. Thực tế không trang nào chứa thuật ngữ đó. → Ô nhiễm SERP web hợp pháp bằng từ khóa spam và site được push → Negative SEO, ác mộng cho webmaster!
Giảm thiểu (Mitigation)
NoIndex
Để tránh ô nhiễm kết quả tìm kiếm, chèn thẻ vào trang kết quả tìm kiếm:
<meta name="robots" content="noindex">Hoặc dùng robots.txt trong thư mục gốc:
User-agent: *
Noindex: /Cũng có thể làm bằng plugin WordPress khác.
Dùng Astra bảo vệ
Astra phát hiện lỗ hổng (đặc biệt phần no-index trong Korean SEO spam). Giải pháp bảo mật hoàn chỉnh như Astra bảo vệ web khỏi spam tương lai. Tường lửa Astra chặn Spam, SQLi, XSS, CSRF, bad bots và 100+ tấn công phổ biến. Thêm lớp bảo vệ Astra ngay!