Resumo: referer injetado por extensão a partir de infirc.com e infird.com com user agents rotativos
- Pico de referer, causa real: Todos os painéis de analytics leem um pico de tráfego referer como sorte de afiliação ou um ataque ao seu site, mas 145 pedidos num único dia a partir de infirc.com, cada um com um user agent distinto, significa outra coisa: uma extensão a injetar-se nas sessões dos seus visitantes.
- Como a cside mapeou: O diretório público de domínios da cside indexou infirc.com e infird.com à medida que foram aparecendo, o motor interno sinalizou ambos como maliciosos face ao mesmo script que também chamava a AliExpress, rano.info, zurano.info e o Measurement Protocol da google-analytics.com, e seguimos tráfego proveniente da República Checa, China, VPNs de Londres e Japão.
- Ainda no âmbito PCI: O script ignora explicitamente o Google, o Bing e outros ambientes altamente protegidos. O CSP não o teria apanhado, e a injeção por extensão do lado do visitante continua a estar dentro do âmbito do PCI DSS 6.4.3 e 11.6.1, mesmo que o código nunca tenha estado no seu repositório.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
Os domínios infirc[.]com e infird[.]com causaram bastante agitação recentemente, e destacaram os perigos de extensões web infetadas ou maliciosas.
O Infirc[.]com foi observado pela primeira vez a chegar ao nosso backend, aparecendo como cabeçalho referer, apesar de não estar hospedado nem ser referenciado pelo nosso site.
O nosso diretório público de domínios indexou o domínio logo a seguir, e o nosso motor de deteção interno sinalizou-o como potencialmente malicioso.
O Infirc[.]com é um domínio recentemente registado, sem propósito claro nem reputação estabelecida.
Algumas semanas depois, reparámos num aumento significativo nas impressões e cliques de pesquisa nesta página, indicando que as pessoas estavam a pesquisar este domínio. Isto levou-nos a investigar mais a fundo.
Um domínio malicioso dentro de uma extensão web (plugin)
De acordo com a fonte, sugere-se que o script foi encontrado na cside, mas não estamos infetados. A única outra possibilidade são visitas de um browser com uma extensão web que tenta injetar código.
Em alguns casos, os IDs das extensões são expostos. Neste caso, não conseguimos encontrar nenhum.
Se a extensão web de alguém estiver infetada, ou se um atacante criar uma, estas podem ser usadas para atacar sites. Por exemplo, tem um site de ecommerce que permite aos visitantes criar contas e realizar transações. Um visitante com uma extensão web infetada compra um produto. Nesse processo, os seus dados pessoais e detalhes financeiros são captados pelo script malicioso de terceiros dentro da extensão infetada.
Em alternativa, uma extensão maliciosa utiliza tráfego de bots para captar qualquer tipo de informação a que não deveria ter acesso.
Reparámos num influxo de pedidos proxy provenientes de diferentes endereços IP em todo o mundo, incluindo:
- República Checa
- China
- Londres (via VPN)
- Japão
Os registos de 17 de setembro de 2024 mostram o primeiro vestígio de infirc[.]com a fazer pedidos ao nosso backend. Com o passar do tempo, especialmente por volta de 13 de outubro de 2024, observámos 145 pedidos proxy direcionados para este domínio num único dia.
Cada pedido apresentava um user agent diferente, dificultando a identificação de uma única fonte de atividade. Provavelmente tráfego gerado por bots ou um ataque coordenado através de uma variedade de user agents e VPNs.
A 15 de outubro, detetámos e indexámos infird[.]com, que apresentava semelhanças.
Os scripts maliciosos carregados pelos domínios
Uma investigação mais aprofundada revelou uma rede complexa de scripts, extensões e domínios externos. Tanto o infirc[.com] como o infird[.com] alojam o mesmo script, como se pode ver em ambas as páginas:
- https://infird[.]com/cdn/afde4f0c-4096-4aeb-b345-d1aea539851b
- https://infirc[.]com/cdn/c7fa7451-6f95-4815-ac32-b8cc2537837a
Ambos os scripts faziam referência à AliExpress e a outro domínio, rano[.]info. Este último poderá ser um domínio de ingestão usado para recolher, processar ou receber dados de fontes externas.
A análise dos scripts revelou tentativas de contornar mecanismos de deteção comuns. Ambos os domínios carregam scripts externos de fontes não confiáveis, como:
- zurano[.]info/zimblat?i=7OB7CVF5V7&atr=477978779O domínio zurano[.]info foi sinalizado como não sendo legítimo nem associado a quaisquer serviços de confiança.
O script também foi visto a transmitir dados para outros servidores externos, incluindo:
- https://overbridgenet[.]com/jsv8/offer
- Google Analytics através do Measurement Protocol: https://www.google-analytics[.]com/mp/collect
Este comportamento mostra que o infirc[.]com carrega scripts não autorizados e envia dados para vários servidores externos, possivelmente para monitorizar utilizadores ou manipular análises.
Duas funções, _0xfc929c() e _0x1238ee(), foram identificadas no código, sugerindo que o script poderá estar a tentar:
- Redirecionar utilizadores para URLs diferentes.
- Modificar links ou interações na página sem o consentimento do utilizador.
Este tipo de comportamento revela uma possível tentativa de alterar a experiência de navegação dos utilizadores ou de obter informações sensíveis através de phishing, redirecionando-os para sites maliciosos.
O script inclui verificações específicas para evitar ser executado em ambientes particulares, como plataformas como o Google, o Bing e outras redes sociais, de modo a evitar a deteção em ambientes de destaque e bem protegidos.
Os CSPs são amplamente utilizados como primeira camada de proteção contra ataques do lado do cliente, incluindo este tipo de ataques. Os atacantes conhecem-nos e conseguem facilmente contorná-los. Nós não dependemos de CSPs e conseguimos detetá-lo.
Como proteger o seu site
Verifique o seu código à procura de qualquer referência a estes domínios e remova-as. No entanto, isto é quase certamente um script malicioso de terceiros que está a tentar ser injetado a partir do exterior.
Podemos bloquear estas tentativas, embora atacantes que conheçam a presença da cside possam também contornar-nos. Este é um ataque proveniente do browser de um visitante, não código malicioso de terceiros já presente no seu próprio site. Ainda assim, conseguimos detetá-lo e partilhar informações consigo, incluindo os IPs e a hora das tentativas.
Quaisquer scripts de terceiros presentes no seu site que estejam comprometidos, conseguimos detetá-los e bloqueá-los antes de serem executados no browser dos seus visitantes, protegendo-os a eles, e a si, de atores maliciosos.
Ao utilizar o nosso plano gratuito, fica protegido deste e de outros ataques semelhantes.
