Toen we gisteren de nieuwe Fireship-video zagen, werden we onmiddellijk herinnerd aan de recente Polyfill-aanval. Ons eerste artikel werd opgepikt en gerefereerd door de meeste cybersecurity-nieuwsmedia, en een week later publiceerden we onze volledige post-mortem.
Toen Fireship vervolgens berichtte over Tuaw, "The Unofficial Apple Weblog" dat destijds door veel mensen werd gelezen, vonden we het juist om er ook over te berichten.
Een korte samenvatting voordat we ingaan op de verontrustende zaken:
Tuaw[.]com werd overgenomen door AOL, maar een paar jaar later in 2015 werd het gesloten.
Maar een paar weken geleden werd de website weer online gezet. Ze hebben de meeste oude artikelen door een AI-herschrijver gehaald en weer online gezet. Eerst met oude auteurnamen, daarna hebben ze een aantal hernoemd zoals we later zullen zien.
Ook zijn er nieuwe artikelen toegevoegd. Een nadere blik onthult dat deze waarschijnlijk ook low-level AI-gegenereerd en geautomatiseerd zijn.
Een in Hong Kong gevestigd bedrijf genaamd "WebOrange" heeft het domein gekraakt en bezit nu deze website.
Het Fireship-rapport eindigt daar, maar hier is waarom we denken dat dit mogelijk problemen in de maak zou kunnen zijn.
Wees voorzichtig met Tuaw[.]com
In de recente Polyfill-aanval zagen we een geval waarbij een aantal websites nog steeds het domein Polyfill[.io] en anderen in hun code refereerden. Toen het domein vervolgens werd overgenomen, werd het gebruikt om kwaadaardige code in te voegen die gebruikers omleidde naar frauduleuze websites.
Tuaw[.] is onmiddellijk minder gevaarlijk dan Polyfill[.]io. Voor zover wij weten hebben ze nooit scripts verspreid die door andere websites werden gebruikt. Maar aangezien ze ooit een zeer populaire nieuwssite waren, hebben veel sites links naar hun oude artikelen.
Een voorbeeld dat we vonden is dit op MacRumors forums:
Die link "tuaw[.]com/2011/03/24/wooden-ipad-2-cover-outsmarts-apples-smart-cover/" leidt om naar "tuaw[.]com/ipad/accessories/".
Wat verdacht zou kunnen zijn, en mogelijk een oplichterij in de maak is.
LabelCantine groef een paar weken geleden wat dieper, en ontdekte dat Tuaw de naam van de oude verslaggevers veranderde na dreiging met juridische stappen:
We kunnen ook zien dat de laatst geüploade artikelen allemaal binnen enkele minuten van elkaar zijn gedaan:
En hoewel niet onfeilbaar, is de afbeelding die voor Paul Terpstra wordt gebruikt waarschijnlijk AI-gegenereerd:
Het domein heeft nog steeds veel SEO-potentieel en zal gemakkelijk snel hoog gaan ranken. Dit betekent dat dit allemaal gewoon een SEO-spel zou kunnen zijn dat bedoeld is om verkeer te genereren. Monetisatie via advertenties of omleidingen zijn eindes die we eerder hebben gezien.
Het belang van client-side beveiliging
Pure client-side risico's zijn laag met Tuaw[.]com. Desondanks is het belangrijk om dit domein in de gaten te houden. Deze andere domeinen die eigendom zijn van dit bedrijf volgens LabelCantine hierboven gelinkt, volgden vergelijkbare technieken:
- iLounge[.]com
- Soup[.]io
Als uw site naar een van hen verwijst, raden we u aan deze te beoordelen en te verwijderen.
Om uw site veilig te houden tegen client-side JavaScript-aanvallen, gebruik cside nu gratis.
