Les domaines infirc[.]com et infird[.]com ont récemment causé beaucoup d'agitation et mis en évidence les dangers des extensions web infectées ou malveillantes.
Infirc[.]com a été observé pour la première fois dans notre backend en apparaissant comme en-tête referer, bien qu'il ne soit ni hébergé ni référencé par notre site.
Notre répertoire de domaines public a indexé le domaine juste après, et notre moteur de détection interne l'a signalé comme potentiellement malveillant.
Accédez à cette page dans notre répertoire.
Infirc[.]com est un domaine nouvellement enregistré sans objectif clair ni réputation établie.
Quelques semaines plus tard, nous avons remarqué une augmentation significative des impressions et des clics de recherche sur cette page, indiquant que les gens recherchaient ce domaine. Cela nous a incités à approfondir nos investigations.
Un domaine malveillant à l'intérieur d'une extension web (plugin)
Selon la source, cela suggère que le script a été trouvé sur cside, mais nous ne sommes pas infectés. La seule autre possibilité est des visites provenant d'un navigateur avec une extension web qui tente d'injecter du code.
Dans certains cas, les identifiants d'extension sont divulgués. Dans ce cas, nous n'avons pas pu en trouver un.
Si l'extension web de quelqu'un est infectée, ou si un attaquant en crée une, elles peuvent être utilisées pour attaquer des sites web. Par exemple, vous avez un site e-commerce qui permet aux visiteurs de créer des comptes et d'effectuer des transactions. Un visiteur avec une extension web infectée achète un produit. Dans ce processus, ses informations personnelles et ses détails financiers sont capturés par le script tiers malveillant à l'intérieur de l'extension infectée.
Alternativement, une extension malveillante peut utiliser du trafic de bots pour capturer tout type d'information qu'elle n'est pas censée accéder.
Nous avons remarqué un afflux de requêtes proxy provenant de différentes adresses IP à travers le monde, notamment :
- République tchèque
- Chine
- Londres (via VPN)
- Japon
Les journaux du 17 septembre 2024 montrent la première trace d'infirc[.]com effectuant des requêtes vers notre backend. Au fil du temps, en particulier vers le 13 octobre 2024, nous avons observé 145 requêtes proxy dirigées vers ce domaine en une seule journée.
Chaque requête présentait un agent utilisateur distinct et différent, rendant difficile l'identification d'une source unique d'activité. Probablement du trafic piloté par des bots ou une attaque coordonnée à travers une gamme d'agents utilisateurs et de VPN.
Le 15 octobre, nous avons capturé et indexé infird[.]com, qui présentait des similitudes.
Accédez à cette page dans notre répertoire.
Les scripts malveillants chargés par les domaines
En creusant plus profondément, nous avons révélé un réseau complexe de scripts, d'extensions et de domaines externes. Infirc[.com] et infird[.com] hébergent tous deux le même script, comme on peut le voir sur ces deux pages :
- https://infird[.]com/cdn/afde4f0c-4096-4aeb-b345-d1aea539851b
- https://infirc[.]com/cdn/c7fa7451-6f95-4815-ac32-b8cc2537837a
Les deux scripts référençaient AliExpress et un autre domaine, rano[.]info. Ce dernier pourrait être un domaine d'ingestion utilisé pour collecter, traiter ou recevoir des données provenant de sources externes.
L'analyse des scripts a révélé des tentatives de contourner les mécanismes de détection courants. Comme l'a souligné l'examen technique, les deux domaines chargent des scripts externes provenant de sources non fiables comme :
- zurano[.]info/zimblat?i=7OB7CVF5V7&atr=477978779Le domaine zurano[.]info a été signalé comme n'étant ni légitime ni associé à des services de confiance.
Le script a également été vu transmettant des données à d'autres serveurs externes, notamment :
- https://overbridgenet[.]com/jsv8/offer
- Google Analytics via le Measurement Protocol : https://www.google-analytics[.]com/mp/collect
Ce comportement indique qu'infirc[.]com ne facilite pas seulement le chargement de scripts non autorisés, mais envoie également des données à divers serveurs externes, possiblement pour suivre les utilisateurs ou manipuler les analyses.
Deux fonctions, _0xfc929c() et _0x1238ee(), ont été identifiées dans le code, suggérant que le script pourrait tenter de :
- Rediriger les utilisateurs vers différentes URL.
- Modifier les liens ou les interactions sur la page sans le consentement de l'utilisateur.
Ce type de comportement montre une possible tentative de modifier l'expérience de navigation des utilisateurs ou de phisher des informations sensibles en les redirigeant vers des sites malveillants.
Le script inclut des vérifications spécifiques pour éviter de s'exécuter dans des environnements particuliers, tels que des plateformes comme Google, Bing et d'autres réseaux sociaux, afin d'éviter la détection dans des environnements de haut niveau et bien défendus.
Les CSP sont largement utilisées comme première couche de protection contre les attaques côté client, y compris celles-ci. Les attaquants les connaissent et peuvent facilement les contourner. Nous ne nous appuyons pas sur les CSP et avons pu les détecter.
Comment protéger votre site
Veuillez vérifier votre code pour toute référence à ces domaines et les supprimer. Cependant, il s'agit presque certainement d'un script tiers malveillant qui tente d'être injecté de l'extérieur.
Nous pouvons bloquer ces tentatives. Bien qu'il soit important de mentionner que si les attaquants connaissent la présence de cside, ils peuvent également nous contourner. Il s'agit d'une attaque provenant du navigateur d'un visiteur, et non d'un code tiers malveillant déjà présent sur votre propre site. Nous sommes toujours en mesure de détecter et de vous informer des tentatives des attaquants, y compris le partage d'informations cruciales comme les adresses IP et l'heure des tentatives.
Tous les scripts tiers présents sur votre site qui sont compromis, nous pouvons les détecter et les bloquer avant qu'ils ne s'exécutent dans le navigateur de vos visiteurs. Les protégeant, ainsi que vous, des acteurs malveillants.
En utilisant notre offre gratuite, vous êtes protégé contre cette attaque et d'autres attaques similaires.
