Zoekfunctie Google helpt bij detectie malware

Een leverancier voor internetbeveiligings- en filteroplossingen, Websense, heeft door slim gebruik te maken van een bepaalde Google-zoekoptie naar eigen zeggen de afgelopen maand rond de tweeduizend websites ontdekt die proberen malware te installeren op de computer van de bezoeker. Het bedrijf maakte voor dat doel gebruik van een eigen applicatie die de zoekfunctie van Google met coderegels voert die voorkomen in bekende malware. Aangezien de zoekmachine in staat is om uitvoerbare bestanden op codeniveau te indexeren, kan Websense nakijken welke websites programma's zoals Mytob en Bagel huisvesten. Het gaat daarbij zowel om internetpagina's die dat moedwillig doen als gehackte sites die zonder dit te weten meewerken aan de distributie van de snode software.

Websense gaat de software niet met de hele wereld delen, aangezien de angst bestaat dat kwaadwillenden de applicatie juist zullen gebruiken om gratis aan malware te komen en die te gebruiken voor eigen doeleinden. Slechts een beperkt aantal veiligheidsteams zouden in aanmerking komen voor de zoeksoftware van Websense. Met het bekend worden van dit type Google-gebruik is er ook enige angst geuit dat malwareverspreiders hun programma's zullen voorzien van populaire zoektermen. Dat gevaar is volgens een veiligheidsonderzoeker van Computer Sciences relativeerbaar, aangezien gebruikers nog steeds eerst toestemming moeten geven om het programma te downloaden en uit te voeren. Waarom Google ook uitvoerbare bestanden op codeniveau indexeert is nog onduidelijk, alhoewel het een aanwijzing zou kunnen zijn dat het zoekbedrijf experimenteert met het toegankelijk maken van nieuwe typen data.

Reacties (15)

[martijnvanegdom]

"Het bedrijf maakte voor dat doel gebruik van een eigen applicatie die de zoekfunctie van Google met coderegels voert die voorkomen in bekende malware. Aangezien de zoekmachine in staat is om uitvoerbare bestanden op codeniveau te indexeren"

Ik vraag me toch af wat daar precies bedoelt worden. Google kan vast geen binaire exe op codeniveau indexeren... Zou heel knap wezen

[Freee!!]

Ik vraag me toch af wat daar precies bedoelt worden. Google kan vast geen binaire exe op codeniveau indexeren...

Ik denk niet dat het Google (of welke andere zoekmachine dan ook) heel erg veel uitmaakt of de zoekstring nu "abcdef" is of "[x$%S;". Er wordt gewoon een aantal bytes vergeleken en die kan je zonder meer vullen met een serie hex-waardes.

[WaarAnders]

als dat zo zou zijn dan kan je ook passwords voor bijvoorbeeld mysql db's uit een php bestand halen. Mensen zetten het password of in het bestand zelf, of een verwijzing naar het bestand met password.

edit: ik had het bericht begrepen als: google doorzoekt servers. dan kan je dus wel direct het php bestand eraf halen

[ebx]

kan niet, PHP wordt server side verwerkt, exe's client-side
(oops ze waren me voor)

bovendien kan google het codeniveau niet terughale, maar ze maken wel een soort over overzicht van de structuur van een executable file

bv. zoeken op http://www.google.com/sea...al+Size%3A+0004f000%22&lr= zal je enkele exe's weergeven in structuurvorm, nu zal je bij commerciële malware telkens hetzelfde patroon zien terugkomen en da's waar ze op zoeken

[Darude1234]

Om het nog iets duidelijker te maken: Een PHP-script wordt uitgevoerd op de server en de uitvoer wordt vanaf de server in html doorgestuurd, naar de browser van de gebruiker

[Scorpion1984]

Nee hoor, aangezien de php niet wordt verstuurd naar degene die de pagina bekijkt.

[Anoniem: 145574]

Inderdaad. PHP is niet zichtbaar voor andere gebruikers. Check maar eens de broncode van een website. Knap als jij daar PHP in ziet!

[mae-t.net]

"wezen", als in een vervoeging van het bijzonder onregelmatige werkwoord "zijn".

[Anoniem: 146043]

Google eens op "0F FF 0E 3A" en je komt al veel te weten. Nu nu een low level stripper en je komt een eind. Ik wist dit gedeeltelijk al en ik ben ontzettend blij dat ze deze truuk door beginnen te krijgen, proost!

[J.J.J. Bokma]

Iets als http://www.google.com/search?q=password%20filetype%3Aexe

wordt bedoelt. Nu snap jij het ook, enne, proost!

[Mapje]

Een andere oplossing ter voorkoming van terecht komen op foute sites is het gebruik van :

http://www.siteadvisor.com/download/iemedia.html?cid=19627

[OpenMinded]

goede tip, ik vroeg me net af of er een lijst is van die malafide websites.
Ben wel benieuwd wie troep host en wie zijn website niet goed beveiligd

[OpenMinded]

achteraf gewoon shit die link.
Ik draai Linux, wat moet ik met die zooi?
ik zie liever een crossplatform java tool of zo, of gewoon een lijst op internetpagin (die niet door malware geïnfecteerd is )

[Anoniem: 106918]

Ik denk dat het slim is dat ze dat programmatje voor eigen gebruik houden, of maar beperkt uitdelen, misschien dat het niet veel lijkt, maar als ze nou per week 2000/3000 sites weghalen die geinfecteerd zijn, dan scheelt dat toch voor een avg. computergebruiker.. de kans op spyware via een gehackte site wordt dan toch kleiner...