ما می دانیم که 15 هزار وب سایت آلوده شده اند. چگونه به آنها بگوییم؟

ما 15579 وب‌سایت را شناسایی کرده‌ایم که در حال حاضر به جاوا اسکریپت مخرب آلوده شده‌اند و بین آنها، به طور محافظه‌کارانه تخمین می‌زنیم که هر ماه بیش از 135 میلیون بازدیدکننده داشته باشند.

ما می دانیم که آنها آلوده شده اند، و ما شواهدی برای اثبات آن داریم، اما یک مشکل وجود دارد: چگونه می توانیم به همه آنها بگوییم؟

با افزایش قابلیت‌های Threat Intelligence ما در Report URI، شناسایی وب‌سایت‌های در معرض خطر کارآمدتر شده است. متأسفانه، افشای مسئولانه سرعت خود را ادامه نداده است، و ما اکنون به طور قابل توجهی سریعتر از آنچه می‌توانیم امیدوار باشیم به سازمان‌های آسیب‌دیده اطلاع دهیم، عفونت‌ها را پیدا می‌کنیم.

من واقعا نمی دانم چگونه این مشکل را حل کنم ، بنابراین از شما کمک می خواهم.

در هسته آن، ما در حال یافتن وب‌سایت‌هایی هستیم که جاوا اسکریپت را اجرا می‌کنند و اصلا نباید اجرا شوند! برای چند نمونه از این که چقدر این می تواند بد باشد:

همه اینها سناریوهای بدی برای بازدیدکنندگان بی گناه هستند و مهاجمان بسته به هدف خود، محموله های خود را تغییر می دهند.

راه‌های زیادی وجود دارد که مهاجم می‌تواند JS مخرب را به یک سایت وارد کند، اما در اینجا دسته‌های اصلی وجود دارد که بردارهای اولیه را از آنچه می‌بینیم گروه‌بندی می‌کنیم:

متأسفانه، همانطور که می بینیم، راه های مختلفی وجود دارد که ممکن است این اشتباه انجام شود.

در حال حاضر، ما 15579 سایت منحصر به فرد داریم که به یکی از حملات مخرب JS لیست شده در بالا آلوده شده اند. اینها سایت هایی هستند که هیچ شکی در آنها وجود ندارد و لیست سایت هایی که در آنها شک داریم اما به اطمینان 100% نرسیده ایم هزاران سایت دیگر است. سپتامبر را به عنوان مثال در نظر بگیرید، زیرا ما هنوز پردازش همه چیز را از اکتبر به پایان نرسانده‌ایم، و این آمار مربوط به سایت‌های جدیدی است که شناسایی کرده‌ایم که آلوده هستند:

اینها سایت هایی هستند که تا امروز هنوز آلوده هستند. ما سایت‌ها را به محض پاک کردن عفونت خود حذف می‌کنیم، زیرا هیچ نگرانی در مورد تلاش برای اطلاع‌رسانی به آنها نداریم، بنابراین موارد بیش از این وجود داشت.

از نظر حجم ترافیک، بسیار تعجب آور است که چقدر سریع جمع می شود. هیچ یک از سایت های موجود در لیست رهبران جهانی نیستند، اما ما حضور گسترده ای از رهبران منطقه ای داریم. به عنوان مثال، اگر به سایت‌های .fr، .es و .de نگاه کنیم، برخی از آنها واقعا رتبه‌بندی بالایی در آن کشورها دارند، اما به سختی می‌توانند رتبه ۱ میلیون برتر جهان را کسب کنند. به نظر می رسد که یک سایت برتر در فرانسه بودن هنوز هم حجم زیادی از ترافیک را برای شما به ارمغان می آورد.

با استفاده از منابع مختلف داده، و با توجه به برآوردهای ما بسیار محافظه کارانه، لیست سایت های آلوده فعلی ما به راحتی در مجموع 135 میلیون بازدید در ماه دریافت می کنند. که قرار گرفتن در معرض زیادی است.

ما همچنان مستقیما با آن سایت‌هایی تماس می‌گیریم که آن‌ها را به‌عنوان سایت‌هایی که به‌ویژه تأثیرگذار هستند، ارتباط برقرار می‌کنیم و سعی می‌کنیم به آن‌ها اطلاع دهیم، اگرچه این امر مسلما در مقیاس کوچک اتفاق می‌افتد. فرآیند افشای مسئولانه منابع زیادی را مصرف می کند، استفاده از security.txt کم است و اکثریت قریب به اتفاق ایمیل ها و پیام های ما بی پاسخ می مانند. این به سادگی برای ما امکان پذیر نیست که این را افزایش دهیم.

از آنجایی که اینها سایت هایی هستند که ما در حال خزیدن و شناسایی خودمان هستیم، هیچ اطلاعات تماسی مانند یک مشتری نداریم. بنابراین، همانطور که شرایط در حال حاضر وجود دارد، ما در اینجا هستیم و من می خواهم پیشنهاداتی را در مورد آنچه که می توانیم انجام دهیم بشنوم.

اگر از یک NCSC/CERT هستید، به خصوص در اروپا که به نظر می رسد سایت های تحت تاثیر زیادی پیدا می کنیم، لطفا با intel@report-uri.com تماس بگیرید و ما خوشحال می شویم لیستی از سایت های آلوده در منطقه شما ارائه دهیم. امیدواریم بتوانید در اطلاع رسانی به سایت های آسیب دیده موفق تر از ما باشید.

اگر یک سازمان هستید و معتقدید که دسترسی تجاری به فیدهای اطلاعاتی تهدیدات ما به شما کمک می کند از مشتریان خود محافظت کنید، می توانید برای جزئیات به intel@report-uri.com نیز مراجعه کنید.

با این حال، به مشکل اصلی برگردیم، و گفتن آن برایم آزاردهنده است، اما ایده روشنی درباره اینکه چگونه می‌توانیم برای تأثیر مثبت بیشتر تلاش کنیم، ندارم. اگر فکر می‌کنید چیزی وجود دارد که می‌توانید در مورد آن کمک کنید، ایده‌ای که می‌خواهید مطرح کنید، یا پیشنهادی در مورد اینکه چه کاری می‌توانیم با همه این داده‌ها انجام دهیم، لطفا نظرات زیر را درج کنید و خوشحال می‌شوم که از شما بشنوم.

ما اطلاعاتی داریم که می تواند به محافظت از میلیون ها بازدیدکننده وب سایت کمک کند، و برای تبدیل آن به عمل به کمک نیاز داریم.

سوالات زیادی در کانال های مختلف اجتماعی و به خصوص موضوع HN مطرح شده است، بنابراین فکر کردم که در یک مکان مرکزی به آنها پاسخ دهم:

چرا لیست سایت ها منتشر نشده است؟ چند دلیل وجود دارد:

چرا از مخاطبین WHOIS استفاده نمی کنید؟ از زمان GDPR در سال 2018، متوجه شدم که این داده ها عمدتا بی فایده هستند. چیزی که دریافت می‌کنید یا چیزی نیست، یک فرم وب ثبت‌کننده، یا یک آدرس رله مانند صندوق‌های پستی حریم خصوصی Namecheap یا GoDaddy.

چرا با ارائه دهندگان هاستینگ تماس نمی گیرید؟ از آنجایی که بسیاری از این سایت‌ها پشت یک ارائه‌دهنده CDN یا سایر سرویس‌های پروکسی قرار دارند، بنابراین وضوح IP هیچ نشانه‌ای از اینکه ارائه‌دهنده میزبانی با آن‌ها چه کسی باید تماس بگیرد، نمی‌دهد.

چرا فقط به هر وب سایت ایمیل ارسال نمی کنید؟ احتمالا می‌توانم آن را خودکار کنم، اما به کدام آدرس ایمیل؟ من باید به مجموعه ای از موارد رایج، info@، support@، سوء استفاده@، شاید دیگران ضربه بزنم؟ همچنین نزدیک به 16000 مورد از آنها وجود دارد، آیا تا به حال سعی کرده اید 16000 ایمیل ارسال کنید؟ ایمیل‌هایی که به صورت دستی تنظیم شده‌اند تقریبا هیچ نرخ پاسخی ندارند، بنابراین به نظر می‌رسد که یک عکس ایمیل هرزنامه کمکی نخواهد کرد، و همچنین می‌تواند شهرت ایمیل من را از بین ببرد!