SEO Poisoning: Search Engine Optimization Poisoning (T1608.006)

Poiché questa tecnica appartiene a Resource Development, in un ingaggio di red team l'attività va simulata in laboratorio, isolata dal traffico reale e con siti civetta di proprietà, senza mai inquinare motori di ricerca pubblici.

Il primo blocco simula la preparazione dei contenuti. Su un web server di lab si predispone una pagina di Drive-by Target con injection di parole chiave a tema. Per replicare il keyword stuffing con testo nascosto si generano blocchi di testo invisibili via CSS (per esempio elementi con display:none o colore identico allo sfondo) e meta tag mirati. Per orchestrare la generazione delle esche testuali va bene qualsiasi toolkit di templating; l'importante è mantenere tutto entro il dominio di test.

Il secondo blocco riguarda il cloaking e i redirect evasivi, cuore della tecnica. In laboratorio si configura il server per servire contenuti differenziati in base agli header. Con Nginx o Apache si discrimina lo User-Agent per distinguere un crawler simulato da un browser vittima:

if ($http_user_agent ~ "bot|crawl|spider") { return 200 /benign.html; }*

Si può aggiungere logica lato JavaScript che verifica movimenti del mouse o la lingua del browser (navigator.language) prima di innescare il redirect verso il payload, riproducendo il filtraggio anti-analisi descritto nella tecnica.

Il terzo blocco emula il link planting: nel lab si creano più siti civetta che si linkano reciprocamente per gonfiare artificialmente la reputazione, verificando come i crawler interpretano la rete di backlink.

Per la ricognizione OSINT dell'infrastruttura, utile a comprendere come un difensore vedrebbe l'operazione, tornano validi strumenti come Recon-ng (open source) e SpiderFoot (open source), che automatizzano l'enumerazione di domini e link. Per l'osservazione dell'esposizione esterna si usano i motori Shodan (freemium) e Censys (freemium).

Una simulazione ben progettata dimostra alla difesa che la fase visibile non è l'avvelenamento in sé, ma il momento in cui l'utente atterra sul sito compromesso: l'attività combacia con Mustard Tempest (G1020), noto per avvelenare i risultati di ricerca distribuendo finti aggiornamenti software. Concentrare il test sul comportamento del payload finale, e non sul gaming degli algoritmi pubblici, mantiene l'esercizio etico e riproducibile.

La rilevazione diretta del SEO Poisoning è intrinsecamente difficile: gran parte dell'attività avviene su infrastruttura esterna, fuori dalla visibilità dell'organizzazione bersaglio. Per questo la detection DET0881 indica come fonte primaria l'Internet Scan: se pattern o infrastrutture del contenuto malevolo sono già stati identificati, lo scanning può individuare quando l'avversario ha predisposto contenuti web a supporto di una compromissione strategica.

Di conseguenza, lo sforzo di monitoraggio del SOC deve spostarsi sulle fasi successive della kill chain, in particolare Drive-by Compromise ed Exploitation for Client Execution. In pratica, l'evento osservabile non è l'avvelenamento del ranking ma il momento in cui un dipendente clicca su un risultato di ricerca e atterra sul sito ostile.

Sul fronte comportamentale, conviene correlare più sorgenti. I proxy web e i log di navigazione permettono di individuare catene di redirect anomale che partono da un motore di ricerca e terminano su domini di recente registrazione o con reputazione bassa. Un pattern ricorrente, tipico di Mustard Tempest (G1020), è il download di un presunto aggiornamento software subito dopo una query di ricerca legittima: un file eseguibile o un archivio scaricato pochi secondi dopo una SERP è un segnale forte.

Le sorgenti di log utili includono:

• Proxy/Secure Web Gateway: referrer da motori di ricerca seguiti da redirect multipli e download.
• DNS: risoluzioni verso domini appena registrati o lookalike.
• EDR/endpoint: creazione di processi da file scaricati dal browser (per esempio EventCode 1 di Sysmon per process creation, con parent il browser).

Sul piano preventivo, la mitigazione M1056 (Pre-compromise) riconosce che controlli difensivi tradizionali non fermano questa tecnica. Ha però senso alimentare il SOC con threat intelligence per tracciare l'infrastruttura avversaria: piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) aiutano a bloccare proattivamente domini noti. Il monitoraggio di domini simili o lookalike può appoggiarsi a servizi come DomainTools (a pagamento).

Sui falsi positivi: molte campagne di marketing aggressive o siti di download legittimi mostrano redirect e SERP prominenti senza essere malevoli. Il tuning va calibrato sull'associazione tra query di ricerca, dominio di atterraggio neonato e successivo drop di eseguibile, evitando di allertare su ogni redirect. L'educazione degli utenti al riconoscimento di finti aggiornamenti resta un controllo compensativo prezioso.

L'analisi forense del SEO Poisoning parte da un presupposto: l'avvelenamento del ranking accade su infrastruttura esterna, quindi l'analista lavora su due binari distinti — le fonti esterne che ricostruiscono l'infrastruttura ostile e gli artefatti endpoint che emergono dopo il contatto della vittima con il sito malevolo.

Sul versante esterno, la ricostruzione dell'infrastruttura si appoggia a WHOIS storico e passive DNS per stabilire da quanto esistono i domini di atterraggio e come sono collegati tra loro. I Certificate Transparency logs, consultabili tramite database pubblici come quello di crt.sh (gratuito), permettono di identificare certificati emessi per domini lookalike o per la rete di siti civetta usata nel link planting. L'analisi dei backlink e delle parole chiave residue (testo nascosto, meta tag) su pagine ancora online aiuta a confermare la natura dell'operazione.

Sul versante endpoint, la timeline si costruisce a partire dall'attività del browser. Gli artefatti chiave in ambiente Windows sono la cronologia e la cache del browser, che documentano la query di ricerca iniziale e la sequenza di redirect fino al dominio ostile. Per Chrome ed Edge la cronologia risiede nel database SQLite History; per Firefox nel file places.sqlite. Da questi si estrae il referrer del motore di ricerca, prova diretta che l'atterraggio è passato da una SERP.

Subito dopo, la catena tipica — ben rappresentata da Mustard Tempest (G1020), che diffonde finti aggiornamenti software — prosegue con un download. L'analista correla:

• I record di download del browser con il file scaricato.
• Gli ADS Zone.Identifier, il flusso alternativo di dati NTFS che registra la provenienza (ZoneId=3) e talvolta l'URL host di un file scaricato dal web.
• Le tracce di esecuzione come Prefetch e le shimcache/amcache, che datano la prima esecuzione del payload.

In ambiente Linux, la ricostruzione si basa su cronologia del browser nelle rispettive home utente e sui log di sistema che registrano l'esecuzione dei processi discendenti dal browser.

L'incrocio tra timestamp della query, del redirect, del download e dell'esecuzione produce una timeline coerente che dimostra come l'utente sia arrivato sul contenuto avvelenato. Strumenti come Autopsy (open source) e la suite Plaso/log2timeline (open source) automatizzano l'estrazione degli artefatti browser e la costruzione della super-timeline, mentre l'analisi degli ADS con utility native o script conferma la catena di provenienza del payload.

Nel panorama descritto dai dati disponibili, il SEO Poisoning è associato a un unico attore documentato, ma particolarmente rappresentativo del modo in cui questa tecnica viene sfruttata operativamente.

Mustard Tempest (G1020) ha avvelenato i risultati dei motori di ricerca per restituire finti aggiornamenti software e distribuire malware. Questo pattern è emblematico: l'attore non attacca frontalmente il perimetro, ma sfrutta la fiducia dell'utente nei risultati di ricerca. La vittima cerca un software o un aggiornamento legittimo, trova in cima ai risultati un sito predisposto e scarica volontariamente il payload, credendolo autentico. È l'incontro perfetto tra Resource Development (TA0042) e la successiva fase di Drive-by Compromise, dove l'esca SEO diventa il ponte verso l'accesso iniziale.

Il trend più significativo che questo caso illustra è la trasformazione dei motori di ricerca in vettore di distribuzione affidabile. Calibrando le parole chiave su temi molto cercati — categorie di software popolari, notizie di tendenza, argomenti stagionali come elezioni — l'attore massimizza la probabilità di intercettare vittime pertinenti. La combinazione con redirect evasivi e cloaking (contenuti serviti diversamente a crawler e a browser reali, in base a user agent, lingua o header HTTP) permette di alimentare gli algoritmi di ranking mostrando ai crawler pagine innocue e riservando il payload agli utenti reali, complicando enormemente l'attribuzione e il takedown.

Un aspetto strategico per un analista di intelligence è che il finto aggiornamento software rappresenta una lure a bassa attribuzione e alta scalabilità: non richiede infrastruttura di phishing mirata né interazione diretta, poiché è l'utente a cercare attivamente. Questo abbassa i costi operativi e amplia il bacino potenziale di vittime, rendendo la tecnica attraente per attori orientati alla distribuzione di malware come apripista, spesso con logiche di access brokering verso operazioni successive.

Sul piano difensivo, l'intelligence deve concentrarsi sul tracciamento dell'infrastruttura predisposta: domini lookalike, reti di backlink e certificati correlati. Poiché — come riconosce la mitigazione M1056 (Pre-compromise) — l'attività si svolge fuori dal perimetro aziendale, il valore aggiunto sta nella condivisione proattiva di indicatori su infrastruttura avversaria attraverso piattaforme di threat intelligence. Monitorare le campagne di finti aggiornamenti riconducibili a Mustard Tempest consente di anticipare i domini di atterraggio prima che raggiungano posizioni di rilievo nelle ricerche, spostando la difesa dalla reazione post-infezione alla prevenzione basata su conoscenza dell'avversario.

MITRE ATT&CK: T1608.006 (SEO Poisoning), tattica TA0042. Gruppo G1020 (Mustard Tempest). Mitigazione M1056 (Pre-compromise). Detection DET0881, analitica AN2013 (fonte Internet Scan). Tool di detection e supporto citati: SpiderFoot, Recon-ng, Shodan, Censys, MISP, DomainTools, Autopsy, Plaso/log2timeline. Per comandi, artefatti forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity verificabile su documentazione ufficiale e repository pubblici.