Cloaking, zararlı içeriği yalnızca gerçek kurbanlara gösterip güvenlik tarayıcılarına ve şikâyeti inceleyenlere zararsız bir sayfa sunma tekniğidir.
Cloaking (gizleme), kötü amaçlı bir sitenin ziyaretçinin kim olduğuna göre farklı içerik göstermesidir. Hedeflenen kişiler sahte sayfayı görürken güvenlik tarayıcıları, reklam denetçileri ve abuse ekipleri boş bir sayfa, hata mesajı ya da masum görünümlü bir site görür. Bildirilen bir sahte sitenin, kaldırmakla görevli kişilere "temiz" görünmesinin başlıca nedenlerinden biri budur.
Nasıl çalışır
Site, ne göstereceğine karar vermeden önce ziyaretçiyi inceler. Sık kullanılan filtreler şunlardır:
- bulut sağlayıcılarına, güvenlik firmalarına ve arama motorlarına ait IP adresi blokları;
- ülke veya mobil operatör; böylece sayfayı yalnızca hedef pazardaki ziyaretçiler görür;
- tarayıcı bilgisi (user agent); sahte içerik sadece telefonlara ya da belirli tarayıcılara sunulur;
- bir kez çalışıp sonra hata veren tek kullanımlık veya token içeren bağlantılar;
- yönlendiren adres kontrolü; yalnızca SMS, reklam ya da e-postadaki bağlantıdan gelenler içeri alınır.
Pek çok oltalama kiti bu filtrelerle birlikte gelir. Kötü amaçlı reklamlarda ise cloaking, reklam platformlarının incelemesini atlatmak için kullanılır.
Örnek
Temsilî bir örnek: ornekkargo-takip[.]com adresindeki sahte kargo sayfası, ödeme formunu yalnızca Türkiye'deki mobil IP adreslerinden gelen ziyaretçilere gösteriyor. Bir veri merkezindeki masaüstü bilgisayardan bağlantıyı açan analist boş bir sayfa görüyor. Bildirimi inceleyen kayıt firması "404 Not Found" yanıtı alıp kaydı kapatıyor; SMS'i alan kişiler ise sahte formu görmeye devam ediyor.
Nasıl anlaşılır
- Telefonda açılan ama masaüstünde hiçbir şey göstermeyen bağlantılar.
- Aynı adresin başka bir ülkeden ya da ağdan açıldığında farklı içerik göstermesi.
- Bir kez çalışıp ardından hata veren bağlantılar.
- Kurbanlar şikâyet etmeye devam ederken abuse ekibinin "zararlı içerik bulunamadı" yanıtı vermesi.
Markalar ne yapabilir
Kanıtı, kurbanın gördüğü şekilde toplayın: mobil tarayıcı bilgisi ve hedef ülkedeki bir ağ kullanın; ekran görüntülerini, tam adresi, zaman damgalarını ve sayfa kaynağını kaydedin. Her bildirimde bu ayrıntılara yer verin ve gizleme koşullarını açıklayın ki inceleyen kişi durumu tekrar üretebilsin. Google Safe Browsing ve diğer engel listelerine paralel bildirim yapmak da işe yarar; barındırma firması inceleme yaparken uyarılar kullanıcıları korumaya başlayabilir. Phishvoid analistleri gizlenen siteleri bildirim öncesinde bu şekilde belgeler; bildirimleriniz "tekrar üretilemedi" gerekçesiyle kapatılıyorsa bize ulaşın.
Devamını okuyun: Sahte Site Kaldırma Süreci: Adım Adım Ne Olur?
Bunu markanıza karşı mı görüyorsunuz?
Oltalama ve taklit sitelerini bulup kaldırtıyoruz. Ne gördüğünüzü bize anlatın.