För att avgöra om en hemsidan har blivit hackad eller är sårbar letar vi efter indikatorer.
En indikator kan t.ex. vara en länk till en känd skadlig hemsida, inkluderade av speciell JavaScript kod eller
generell text.
Ett konkret expemel på en indikator är JavaScript hämtat från:
https://jpuery-ui.icu/jquery-ui.js. Just den här indikatorn är något vi hittade i en tidigare attack mot svenska hemsidor,
WhiteRabbit Hosting Hack.
Hittar vi hemsidor med denna indikatorn kan vi markera dem som hackade.
Det går även, i vissa fall, upptäcka om en hemsida är sårbar. T.ex. via meta-generator taggar.
En WordPress sida kan ha en meta tagg som <meta name="generator" content="WordPress 4.6" />.
Det här är en indikator på att en hemsida kör en gammal och sårbar version (4.6) av WordPress.
En stor utmaning vi jobbar med är att hitta just dessa indikatorer. Detta kräver oftast noggrant manuellt arbete.
Genom att fokusera på indikatorer behöver vi aldrig "attackera" hemsidor. Vi utför alltså inga så kallade pentests.
Till en början använder vi wget (med WARC växel) för att endast ladda ner startsidan för alla .se domäner.
Vi hoppas kunna utöka detta till att använda fullständiga webbläsare, t.ex. via Selenium
CommonCrawl är ett projekt som ständigt skannar stora delar av Internet. Dock långt ifrån alla svenska hemsidor. Utöver vår egna skanning kan vi använda oss av data från CommonCrawl. Detta är speciellt gynnsamt då CommonCrawl skannar mer än bara startsidan.