Resumen: enlace de soporte hardcodeado a ociforums.com dentro del settings-v2.js de Oracle
- Enlace vivo, dominio muerto: Toda empresa cree que retira sus referencias a proveedores de forma limpia, pero Oracle publicó un enlace activo de soporte "sin agentes disponibles" hacia ociforums.com desde settings-v2.js mientras el dominio estaba expirado y a la venta.
- Cómo lo detectó cside: cside detectó la referencia a ociforums.com mediante observación conductual del lado del cliente, la reportó, y Oracle nos dio crédito en el aviso de seguridad cpuoct2025, precisamente porque el CSP habría mantenido a un propietario secuestrador en la lista de permitidos y el SRI no protege un hipervínculo dentro de la interfaz que no es una dependencia de script con hash.
- Suerte o monitoreo: El enlace estaba hardcodeado en el JavaScript de cada instancia del widget, así que la cuestión es si sigues descubriendo referencias expiradas en código en producción por suerte o mediante monitoreo conductual continuo en tiempo de ejecución de cada dominio al que sigues llamando.
¿Poco tiempo? Consulta el bloqueo de Magecart y skimmers en el navegador de cside. Cubre todo lo de abajo en un solo despliegue.
En cside, monitoreamos continuamente los sitios web en busca de cualquier cosa sospechosa para poder proteger a los usuarios antes de que ocurran los ataques. Recientemente detectamos un caso que involucra a un sitio web muy conocido: Oracle.
Al revisar uno de los archivos JavaScript públicos de Oracle, notamos que contenía un enlace a un dominio que ha expirado.
[https://www.oracle.com/asset/web/js/settings-v2.js](https://www.oracle.com/asset/web/js/settings-v2.js)
Este blog analiza los riesgos de los dominios olvidados o expirados en el código del lado del cliente. No es un problema antiguo ni raro: puede ocurrirle tanto a grandes como a pequeñas empresas, y puede abrir fácilmente la puerta a un ataque a la cadena de suministro.
Nota: nuestro equipo reportó este hallazgo a Oracle, que lo corrigió rápidamente. El propósito de este blog es examinar las implicaciones de seguridad desde una perspectiva defensiva. No debe interpretarse como una guía para la explotación ni para el desarrollo de nuevos vectores de ataque.
El dominio expirado en cuestión
Algunas partes de esta sección están escritas en tiempo presente, ya que fueron tomadas directamente de conversaciones con nuestro analista de seguridad.
El dominio expirado es:
ociforums.com
Visitarlo ahora redirige a:
https://expireddomains.com/domain/ociforums.com
(la captura se tomó en el momento del descubrimiento; desde entonces se ha corregido).
Dentro del archivo JavaScript de Oracle hay una referencia a:
http://ccc.ociforums.com/
Este enlace aparece en el código del sitio web como parte de un mensaje que se muestra a los usuarios cuando no hay agentes de chat en vivo disponibles. Como el dominio está expirado y a la venta, cualquiera podría comprarlo y usarlo con fines maliciosos.
Por qué este dominio expirado era un riesgo de seguridad
Este es el fragmento exacto del archivo:
ocFeedback: {
en: "Sorry, no agents are available... post your question at <a href='http://ccc.ociforums.com/'>http://ccc.ociforums.com/</a>..."
}
Este mensaje se muestra a usuarios que ya están buscando ayuda. Es más probable que confíen en el enlace como una página de soporte legítima de Oracle. Si un atacante comprara el dominio, podrían derivarse varios riesgos:
- Phishing: el atacante podría crear un foro falso con la apariencia del de Oracle y engañar a los usuarios para que compartan sus credenciales.
- Alojamiento de malware: el dominio podría entregar descargas maliciosas o ejecutar kits de exploits.
- Abuso de SEO: como el dominio podría conservar un buen posicionamiento en buscadores, podría aparecer en búsquedas de soporte de Oracle y llevar a los usuarios al sitio falso.
- Daño a la marca: si los usuarios son engañados, podrían culpar a Oracle y perder la confianza en la marca.
Riesgo a largo plazo: el enlace está hardcodeado en el JavaScript, lo que significa que todos los sitios que usen este widget necesitarían una actualización. Si no se parchea rápidamente, la exposición se prolonga.
Ejemplo de escenario de ataque
- Un usuario intenta obtener soporte de Oracle, pero no hay agentes disponibles.
- El mensaje le indica que visite ccc.ociforums.com.
- El dominio ahora pertenece a un atacante.
- El usuario hace clic y se le pide que inicie sesión con sus credenciales de Oracle.
- El atacante recopila las credenciales y también puede distribuir malware o lanzar otras estafas.
Qué hizo el equipo de cside
Nos pusimos en contacto con Oracle y les informamos sobre el problema del dominio expirado. Actuaron con gran rapidez para recomprar el dominio y nos dieron crédito en sus programas de reporte de seguridad. Aplaudimos a Oracle por su rápida respuesta.
Esta situación muestra cómo la complejidad de los sitios web y la exposición acumulada con el tiempo pueden convertirse en un desafío incluso para organizaciones bien preparadas ante incidentes de seguridad. La seguridad del lado del cliente es un área que suele pasarse por alto, y eso aplica a empresas de todos los tamaños.
¿Qué podría haber prevenido un ataque con un dominio expirado?
Si desarrollamos el escenario en el que un atacante sí hubiera obtenido acceso a este dominio: tanto el CSP como el SRI habrían fallado.
El CSP y el SRI habrían fallado
El CSP (Content Security Policy) y el SRI (Sub Resource Integrity) son mecanismos de defensa del lado del cliente de uso común. El CSP valida de dónde se originan las solicitudes, no si el destino sigue siendo seguro. El navegador permitirá la solicitud independientemente de quién sea el propietario actual del dominio. El SRI garantiza la integridad del archivo solo cuando el desarrollador controla el recurso. En este caso, la referencia era un hipervínculo renderizado dentro de la interfaz, no una dependencia de script externo protegida por un hash.
La seguridad del lado del cliente detecta señales de un ataque con dominio expirado
Una plataforma de seguridad del lado del cliente como cside observa continuamente cómo se comportan los scripts en tiempo de ejecución. Si un dominio empieza de repente a emitir redirecciones, a capturar pulsaciones de teclas, a servir JavaScript inesperado o a devolver patrones de respuesta inusuales, ese cambio de comportamiento se convierte de inmediato en una señal de alerta, y cside activaría una notificación para que los equipos de seguridad lo investiguen.
