Сервис Report URI выявил 15 579 сайтов, которые на момент исследования оставались заражены вредоносным JavaScript. По консервативной оценке команды, их совокупная аудитория превышает 135 млн посещений в месяц. Ещё несколько тысяч ресурсов вызывают подозрения, но пока не прошли проверку с достаточной уверенностью. Сайты исключают из списка после очистки, поэтому общее число обнаруженных случаев заражения больше.
Вредоносный код выполняет разные задачи. Скиммеры Magecart похищают платёжные данные на страницах оплаты. Атаки ClickFix маскируются под проверку «докажите, что вы человек» и побуждают посетителя установить вредоносную программу. Другие сценарии направлены на компрометацию устройств, установку шпионского ПО или перенаправление на фишинговые страницы и мошеннические предложения.
Исследователи делят источники заражения на несколько категорий. При прямой компрометации злоумышленники изменяют файлы самого сайта, часто используя уязвимости WordPress. При атаке на цепочку поставок заражается сторонний скрипт, который ресурс загружает для всех посетителей. Кроме того, встречаются XSS-уязвимости и схема группы DeadTag: покупка истёкших доменов, с которых другие сайты продолжают подгружать JavaScript.
Проблема заключается не в обнаружении, а в уведомлении. Развитие threat intelligence позволило Report URI находить новые случаи быстрее, чем команда способна связаться с пострадавшими организациями. Для наиболее значимых сайтов исследователи продолжают рассылать предупреждения напрямую, однако security.txt используется редко, а большинство писем остаётся без ответа. Поскольку это не клиенты сервиса, контактных данных у команды обычно нет.
Автор исследования Скотт Хелм признаёт, что готового способа масштабировать ответственное раскрытие у него нет. Report URI предлагает национальным CERT и NCSC, прежде всего в Европе, запросить списки заражённых ресурсов своих регионов: государственные структуры могут эффективнее донести предупреждения. Компания также рассматривает коммерческий доступ к данным для организаций, защищающих собственных клиентов, и просит специалистов предложить другие варианты превратить обнаруженные угрозы в реальную защиту посетителей.