SEO spam giapponese: pagine iniettate e risultati di ricerca invasi

Una ricerca del proprio dominio su Google restituisce migliaia di pagine con titoli in giapponese, offerte di borse e orologi a prezzi stracciati, pagine che nessuno ha mai creato. È lo spam SEO giapponese, una delle infezioni più diffuse sui siti WordPress, e uno dei casi in cui il danno continua anche dopo la pulizia, finché i risultati di ricerca non tornano normali.

Come funziona

L’obiettivo non è colpire i visitatori del sito, ma sfruttarne la reputazione presso i motori di ricerca. Il malware genera al volo pagine di spam su indirizzi che non esistono nel sito, spesso con una struttura riconoscibile di numeri e parole casuali, e le collega tra loro e con altri siti infetti. Google le indicizza sotto il dominio del sito compromesso e le mostra nei risultati, da cui i visitatori vengono poi rimandati a negozi di merce contraffatta.

Le pagine non esistono come file: le produce uno script PHP a ogni richiesta, spesso con contenuti scaricati da un server esterno. Per restare nascosto, lo script mostra lo spam solo ai crawler dei motori di ricerca, riconosciuti dallo user agent o dall’indirizzo IP, e il sito normale a tutti gli altri. È una forma di cloaking.

Come accorgersene

I segnali più comuni sono:

• una ricerca site:esempio.it su Google che mostra pagine in lingue o su argomenti estranei al sito;
• un aumento improvviso delle pagine indicizzate o scoperte nel rapporto Pagine di Google Search Console;
• nuove sitemap inviate in Search Console da qualcuno che non fa parte del team;
• un proprietario sconosciuto nelle impostazioni di Search Console.

Quest’ultimo punto è importante: un passaggio tipico dell’attacco è verificarsi come proprietario del sito in Search Console, caricando un file di verifica nella cartella principale, per poter inviare le proprie sitemap e accelerare l’indicizzazione dello spam.

Vedere ciò che vede Google

Siccome lo spam è mostrato solo ai crawler, visitare il sito dal browser non serve. Un primo controllo si fa con uno user agent da crawler:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" \
  https://www.esempio.it/ | grep -i -c '<a '

Ma molti script verificano anche che l’indirizzo IP appartenga davvero a Google. Lo strumento più affidabile è il Controllo URL di Search Console, che mostra la pagina come l’ha effettivamente ricevuta Googlebot.

La pulizia

La rimozione tecnica comprende lo script che genera le pagine, di solito affiancato da una o più backdoor, le regole di riscrittura aggiunte in .htaccess per indirizzare gli URL di spam allo script e, spesso, modifiche all’index.php principale. Poi c’è la parte di Search Console:

1. rimuovere i proprietari non autorizzati e i loro file di verifica, altrimenti possono riaggiungersi;
2. eliminare le sitemap inviate dall’attacco;
3. verificare che gli URL di spam rispondano con un errore 404 o 410, così Google li toglie progressivamente dall’indice;
4. per le pagine più visibili, usare lo strumento Rimozioni per nasconderle temporaneamente nei risultati;
5. se Search Console segnala problemi di sicurezza, chiedere una revisione solo dopo aver completato la pulizia.

La scomparsa completa dello spam dai risultati richiede tempo, perché dipende da quando Google torna a visitare ogni singolo URL. Nel frattempo è fondamentale che nessuna pagina di spam torni a rispondere: una reinfezione azzera il lavoro fatto. Per questo la pulizia dei file va sempre accompagnata dalla ricerca della persistenza, nel database e nel cron del server.