De domeinen infirc[.]com en infird[.]com hebben recentelijk behoorlijk wat opschudding veroorzaakt en de gevaren van geïnfecteerde of kwaadaardige webextensies benadrukt.
Infirc[.]com werd voor het eerst waargenomen in onze backend als referer header, ondanks dat het niet wordt gehost of gerefereerd door onze site.
Onze publieke domeinendirectory indexeerde het domein direct daarna, en onze interne detectie-engine markeerde het als potentieel kwaadaardig.
Ga naar deze pagina in onze directory.
Infirc[.]com is een nieuw geregistreerd domein zonder duidelijk doel of gevestigde reputatie.
Een paar weken later merkten we een significante toename in zoekvertoningen en klikken op deze pagina, wat erop wijst dat mensen dit domein aan het onderzoeken waren. Dit zette ons aan tot dieper graven.
Een kwaadaardig domein binnen een webextensie (plugin)
Volgens de bron suggereert het dat het script op cside werd gevonden, maar wij zijn niet geïnfecteerd. De enige andere mogelijkheid is bezoeken vanuit een browser met een webextensie die probeert code te injecteren.
In sommige gevallen worden extensie-ID's gelekt. In dit geval konden we er geen vinden.
Als iemands webextensie geïnfecteerd is, of een aanvaller er een creëert, kunnen ze worden gebruikt om websites aan te vallen. Bijvoorbeeld, u heeft een e-commerce website waar bezoekers accounts kunnen aanmaken en transacties kunnen uitvoeren. Een bezoeker met een geïnfecteerde webextensie koopt een product. In dat proces worden hun PII en financiële gegevens vastgelegd door het kwaadaardige 3rd party script binnen de geïnfecteerde extensie.
Als alternatief kan een kwaadaardige extensie bot-verkeer gebruiken om elk soort informatie vast te leggen waartoe het geen toegang zou moeten hebben.
We merkten een toestroom van proxy-verzoeken afkomstig van verschillende IP-adressen over de hele wereld, waaronder:
- Tsjechië
- China
- Londen (via VPN)
- Japan
De logs van 17 september 2024 tonen het vroegste spoor van infirc[.]com dat verzoeken naar onze backend deed. Naarmate de tijd vorderde, vooral rond 13 oktober 2024, observeerden we 145 proxy-verzoeken gericht op dit domein op één dag.
Elk verzoek presenteerde een onderscheidende en verschillende user agent, waardoor het moeilijk was om één enkele bron van activiteit te identificeren. Waarschijnlijk bot-gedreven verkeer of een gecoördineerde aanval via een reeks user agents en VPN's.
Op 15 oktober vingen en indexeerden we infird[.]com, dat gelijkenis vertoonde.
Ga naar deze pagina in onze directory.
De kwaadaardige scripts geladen door de domeinen
Dieper graven onthulde een complex netwerk van scripts, extensies en externe domeinen. Zowel infirc[.com] als infird[.com] hosten hetzelfde script, zoals te zien is op beide pagina's:
- https://infird[.]com/cdn/afde4f0c-4096-4aeb-b345-d1aea539851b
- https://infirc[.]com/cdn/c7fa7451-6f95-4815-ac32-b8cc2537837a
Beide scripts verwezen naar AliExpress en een ander domein, rano[.]info. Dit laatste zou een ingest-domein kunnen zijn dat wordt gebruikt om gegevens van externe bronnen te verzamelen, verwerken of ontvangen.
De analyse van de scripts onthulde pogingen om veelvoorkomende detectiemechanismen te omzeilen. Zoals benadrukt door de technische review, laden beide domeinen externe scripts van niet-vertrouwde bronnen zoals:
- zurano[.]info/zimblat?i=7OB7CVF5V7&atr=477978779Het domein zurano[.]info werd gemarkeerd als noch legitiem noch geassocieerd met vertrouwde diensten.
Het script werd ook gezien bij het verzenden van gegevens naar andere externe servers, waaronder:
- https://overbridgenet[.]com/jsv8/offer
- Google Analytics via het Measurement Protocol: https://www.google-analytics[.]com/mp/collect
Dit gedrag geeft aan dat infirc[.]com niet alleen het laden van ongeautoriseerde scripts faciliteert, maar ook gegevens naar verschillende externe servers stuurt, mogelijk om gebruikers te volgen of analyses te manipuleren.
Twee functies, _0xfc929c() en _0x1238ee(), werden geïdentificeerd in de code, wat suggereert dat het script mogelijk probeert:
- Gebruikers naar verschillende URL's om te leiden.
- Links of interacties op de pagina te wijzigen zonder toestemming van de gebruiker.
Dit type gedrag toont een mogelijke poging om de browse-ervaring van gebruikers te wijzigen of om gevoelige informatie te phishen door hen naar kwaadaardige sites om te leiden.
Het script bevat specifieke controles om te voorkomen dat het in bepaalde omgevingen draait, zoals platforms zoals Google, Bing en andere sociale medianetwerken, om detectie in hoogwaardige, goed verdedigde omgevingen te vermijden.
CSP's worden veel gebruikt als een eerste beschermingslaag tegen client-side aanvallen, inclusief deze. Aanvallers weten hiervan en kunnen het gemakkelijk omzeilen. Wij vertrouwen niet op CSP's en waren in staat het te detecteren.
Hoe u uw site kunt beschermen
Controleer uw code op verwijzingen naar deze domeinen en verwijder ze. Dit is echter vrijwel zeker een kwaadaardig 3rd party script dat van buitenaf probeert te worden geïnjecteerd.
We kunnen deze pogingen blokkeren. Hoewel het belangrijk is om te vermelden dat als de aanvallers op de hoogte zijn van de aanwezigheid van cside, ze ons ook kunnen omzeilen. Dit is een aanval afkomstig van de browser van een bezoeker, niet kwaadaardige 3rd party code die al aanwezig is op uw eigen site. We zijn nog steeds in staat om de pogingen van de aanvallers te detecteren en u hiervan op de hoogte te stellen, inclusief het delen van cruciale informatie zoals IP's en tijdstip van de pogingen.
Alle 3rd party scripts die aanwezig zijn op uw site en gecompromitteerd zijn, kunnen we detecteren en blokkeren voordat ze worden uitgevoerd in de browser van uw bezoekers. Hen, en u, beschermend tegen kwaadaardige actoren.
Door gebruik te maken van onze gratis tier, bent u veilig tegen deze en andere vergelijkbare aanvallen.
