Malware og søkemotorer: yandex utfordrer av-testresultater

Forrige uke slapp det uavhengige laboratoriet AV-Test ut funnene fra en 18-måneders studie som ser på skadelig programvare som ble levert gjennom søkemotorer. Det store stykket for oss og leserne våre var at Bing returnerte nesten fem ganger så mye skadelig programvare enn Google, men det var fremdeles ikke lederen ifølge AV-Test. Den tittelen gikk til den russiske søkemotoren Yandex, som siden har utfordret AV-Test sine resultater.

Yandex ønsker svar

I en uttalelse stilte Yandex flere spørsmål - hvorav noen ble gjengjent i kommentarene våre - om AV-tests metodikk. Yandex ville vite hvordan AV-Test definerte skadelig programvare, hvorfor prøvestørrelsene varierte så dramatisk, hvordan informasjonen for studien ble samlet inn, og så videre.

Yandex påpekte også at selskapet ikke som regel filtrerer resultatene for skadelig programvare. "Yandex bruker sin egenutviklede antivirus-teknologi for å beskytte brukere mot skadelig programvare, " lyder en e-post fra selskapet. "Yandex markerer de infiserte nettsidene i søkeresultatene for å varsle brukere om utrygt innhold. Vi varsler brukere om mulige konsekvenser og blokkerer ikke tilgang til websiden fullstendig."

AV-test svarer

Det tyske testlaboratoriet fortalte SecurityWatch at det definerte ondsinnede nettsteder som de som "sprer kjent skadelig programvare eller viser ondsinnet oppførsel, inkludert nettsteder som inneholder drive-by-nedlastinger eller direkte nedlastning av ondsinnede binære filer."

Når det gjelder hvordan de ondsinnede nettstedene ble talt, forklarte AV-Test at den brukte fire metoder for bekreftelse. Først ble alle nettsteder undersøkt for mistenkelig oppførsel, inkludert skjult Javascript, skjulte iframes og uvanlige omdirigeringer blant annet. Nettsteder som hadde noen av disse funksjonene, gikk deretter inn i selskapets dynamiske analysesystem, som ser etter ondsinnet oppførsel - for eksempel kjent utnyttelse.

I tillegg til dynamisk analyse, bruker AV-Test lister over kjent skadelig innhold og nettsteder. "Vi bruker utvidede statiske kontroller av innholdet på nettstedet, " sa AV-Test. "Så vi var i stand til å identifisere allerede kjente bruksområder eller malware-binære filer i henhold til dataene våre."

Som en del av deres vanlige antivirus-testing, som vi rutinemessig dekker, kaster AV-Test ut programvaren utenfor hylla mot ondsinnede URL-er. Laboratoriet integrerte deretter denne "virkelige verdenstesting" i studien. Selskapet forklarte at "en stor del av de mistenkelige URL-ene ble også testet mot Anti-Virus-produkter som en del av vår vanlige offentlige testing."

Mistenkelige URL-er ble også kryssjekket mot andre skadedatabaser, som Malwaredomainlist og Zeustracker.

En annen type test

AV-Test adresserte også Yandex poeng med deres anti-malware-løsning og la merke til at søkemotoren ikke er alene om å plassere advarsler i nærheten av mistenkelige koblinger. "De fleste om ikke alle søkemotorer gjør dette til en viss grad, " sa AV-Test til sikkerhetsvakt.

"Men det var ikke en del av denne studien, " fortsatte AV-testen. "Vi testet hvor mange ondsinnede nettsteder som kan gjøre det i indeksen til søkemotoren og bli der en stund." Dette er en kritisk skille, siden den ikke egentlig adresserer hvilken søkemotor som er "tryggere", men hvordan søkemotorer brukes av skurkene til å spre skadelig programvare.

AV-Test sa at for å bestemme effektiviteten av Yandex's anti-malware-system, måtte de utforme en ny studie som så på hvor mange ondsinnede nettsteder søkemotoren korrekt identifiserte. En slik undersøkelse må også se på om advarslene er enkle å se og tolkes riktig av brukere, hvor raskt advarslene vises og hvor mange falske positiver som vises.

Fremover

Yandex og AV-Test er tilsynelatende engasjert i "vennlige" samtaler om problemet, men det etterlater fortsatt noen spørsmål ubesvart. En ting er imidlertid helt tydelig: angripere bruker aktivt søkemotoroptimalisering for å spre skadelig programvare gjennom resultatene av søkemotoren.

Hvordan søkemotorer velger å håndtere dette problemet, er opp til dem og deres forretningsmodell. Faktum er at selv om Yandex kan ha andre midler for å beskytte brukerne sine, er de ondsinnede resultatene der fremdeles. Det samme gjelder Google, Bing og de andre nettstedene i studien.

Den virkelige trusselen

Et annet poeng som mange av leserne våre diskuterte var om denne taktikken utgjorde en faktisk trussel eller ikke. AV-Test erkjente at sjansen for at en person kan møte skadelig programvare gjennom en søkemotor er ekstremt liten, men det er ikke spillet angriperne spiller. De banker på at Google alene behandler 2-3 milliarder søk om dagen. Det gir omtrent 50 000 ondsinnede resultater om dagen, over hele verden. Som det vanligvis er tilfelle med malware-angrep, handler det ikke om deg, det handler om tallene.

På toppen av det bemerket AV-Test at mange av disse ondsinnede nettstedene bruker søkemotoroptimaliseringsteknikker (eller SEO, for de som er interessert i lingoen). Dette er noen av de samme teknikkene som hjelper nyhetssider og blogger med å øke søkeresultatene sine, kunstig eller rettferdig, for å bli lagt merke til på Google. Dette er ikke tilfeldige møter; de er målrettet mot relevante, aktuelle resultater i håp om å treffe så mange ofre som mulig.

Takeaway er fremdeles det samme: vær trygg, klikk smart og få en slags sikkerhetsprogramvare.