Resumo: link de suporte hardcoded ociforums.com dentro do settings-v2.js da Oracle
- Cada empresa julga retirar referências de fornecedores de forma limpa, mas a Oracle enviou um link vivo de suporte sem-agentes-disponíveis para ociforums.com a partir do settings-v2.js enquanto o domínio estava expirado e à venda.
- A cside detetou a referência a ociforums.com através de observação comportamental do lado do cliente, reportou-a, e a Oracle deu-nos crédito no aviso de segurança cpuoct2025, precisamente porque o CSP manteria um novo dono malicioso na allowlist e o SRI não protege um hyperlink de UI que não é uma dependência de script com hash.
- O link estava hardcoded em JavaScript em cada embed do widget, portanto a decisão é se continuas a descobrir referências expiradas em código em produção por sorte ou através de monitorização comportamental contínua em runtime de cada domínio a que ainda chamas.
Na cside, monitoramos continuamente sites em busca de qualquer atividade suspeita para proteger os usuários antes que ataques aconteçam. Recentemente, identificamos um caso interessante envolvendo um site muito conhecido: a Oracle.
Ao revisar um dos arquivos JavaScript públicos da Oracle, percebemos que ele continha uma referência a um domínio que havia expirado.
[https://www.oracle.com/asset/web/js/settings-v2.js](https://www.oracle.com/asset/web/js/settings-v2.js)
Este blog destaca os riscos de domínios esquecidos ou expirados em código client-side. Esse não é um problema antigo ou raro, ele pode acontecer tanto com grandes quanto com pequenas empresas, e pode facilmente abrir caminho para um ataque à cadeia de suprimentos.
Observação: Nossa equipe reportou essa descoberta à Oracle, que a corrigiu rapidamente. O objetivo deste blog é examinar as implicações de segurança sob uma perspectiva defensiva. Não deve ser interpretado como orientação para exploração ou desenvolvimento de novos vetores de ataque.
O Domínio Expirado em Questão
Algumas partes desta seção estão escritas no presente, pois foram extraídas diretamente de conversas com nosso analista de segurança.
O domínio expirado é:
ociforums.com
Acessá-lo agora redireciona para:
https://expireddomains.com/domain/ociforums.com
(a captura de tela foi feita no momento da descoberta; o problema já foi corrigido desde então).
Dentro do arquivo JavaScript da Oracle, há uma referência a:
http://ccc.ociforums.com/
Esse link aparece no código do site como parte de uma mensagem exibida aos usuários quando nenhum agente de chat ao vivo está disponível. Como o domínio está expirado e à venda, qualquer pessoa poderia comprá-lo e utilizá-lo para fins maliciosos.
Por Que Esse Domínio Expirado Era um Risco de Segurança
Veja o trecho exato do arquivo:
ocFeedback: {
en: "Sorry, no agents are available... post your question at <a href='http://ccc.ociforums.com/'>http://ccc.ociforums.com/</a>..."
}
Essa mensagem é exibida para usuários que já estão buscando ajuda. Eles têm maior probabilidade de confiar no link como uma página legítima de suporte da Oracle. Se um atacante comprasse o domínio, vários riscos poderiam surgir:
- Phishing: O atacante poderia criar um fórum falso com a aparência do suporte da Oracle e enganar usuários para que compartilhassem suas credenciais.
- Hospedagem de Malware: O domínio poderia distribuir downloads maliciosos ou executar exploit kits.
- Abuso de SEO: Como o domínio pode ainda ter boas posições nos mecanismos de busca, ele poderia aparecer em pesquisas por suporte da Oracle e levar pessoas ao site falso.
- Danos à Marca: Se usuários forem enganados, podem responsabilizar a Oracle e perder a confiança na marca.
Risco de Longo Prazo: O link está hardcoded no JavaScript, o que significa que todos os sites que utilizam esse widget precisariam de uma atualização. Se não corrigido rapidamente, a exposição persiste.
Exemplo de Cenário de Ataque
- Um usuário tenta obter suporte da Oracle, mas nenhum agente está disponível.
- A mensagem orienta o usuário a acessar ccc.ociforums.com.
- O domínio agora pertence a um atacante.
- O usuário clica e é solicitado a fazer login com suas credenciais da Oracle.
- O atacante coleta as credenciais e pode também distribuir malware ou aplicar outros golpes.
O Que a Equipe da cside Fez
Entramos em contato com a Oracle e a informamos sobre o problema do domínio expirado. Eles agiram muito rapidamente para recomprar o domínio e nos deram crédito em seus programas de reporte de segurança. Parabenizamos a Oracle pela resposta ágil.
Essa situação evidencia como a complexidade e a exposição acumulada de um site ao longo do tempo podem se tornar um desafio até mesmo para organizações excepcionalmente bem preparadas para incidentes de segurança. A segurança client-side é um espaço frequentemente negligenciado, e isso infelizmente se aplica a empresas de todos os tamanhos.
O Que Poderia Ter Prevenido um Ataque de Domínio Expirado?
Se considerarmos o cenário em que um atacante tivesse obtido acesso a esse domínio: tanto o CSP quanto o SRI teriam falhado.
CSP e SRI Falhariam:
CSP (Content Security Policy) e SRI (Sub Resource Integrity) são mecanismos de defesa client-side amplamente utilizados. O CSP valida a origem das requisições, não se o destino ainda é seguro. O navegador permitirá a requisição independentemente de quem seja o proprietário atual do domínio. O SRI garante a integridade de arquivos apenas quando o desenvolvedor controla o recurso. Neste caso, a referência era um hiperlink renderizado na interface do usuário, não uma dependência de script externo protegida por hash.
Segurança Client-side Detecta Sinais de um Ataque de Domínio Expirado:
Uma plataforma de segurança client-side como o cside observa continuamente o comportamento dos scripts em tempo de execução. Se um domínio de repente começa a emitir redirecionamentos, coletar teclas digitadas, servir JavaScript inesperado ou retornar padrões de resposta incomuns, a mudança de comportamento se torna um alerta imediato. Um aviso seria disparado para que as equipes de segurança possam investigar.
