安全研究机构Report URI的威胁情报团队确认，目前有15,579个网站正在运行恶意JavaScript代码，保守估计这些网站每月合计接收超过1.35亿次访问。尽管团队掌握了充分的感染证据，却面临一个棘手难题：发现感染的速度已远超逐一通知受害网站的能力。团队识别的主要攻击类型包括：针对支付页面窃取完整银行卡信息的Magecart信用卡嗅探器；伪装成’人机验证’诱导用户安装恶意软件的ClickFix攻击；针对特定iOS版本植入DarkSword或Coruna间谍软件的设备漏洞利用；以及将访客重定向至钓鱼页面和诈骗网站的恶意跳转。网站被入侵的途径主要分为四类：直接入侵，通常是WordPress等漏洞导致网站自身JS文件被篡改；供应链攻击，网站加载的第三方脚本被感染后波及所有访客；传统XSS跨站脚本漏洞；以及名为DeadTag的威胁组织，通过购买已过期但仍被网站引用JS的域名来分发恶意代码。除已确认的感染站点外，尚有数千个疑似站点待核实。研究团队表示暂时没有解决方案，公开呼吁业界协助改进负责任披露机制。
事件分析
本次事件暴露的核心矛盾在于威胁检测与披露机制的严重不对称：自动化扫描可在短时间内确认上万感染站点，而通知环节仍依赖人工流程，规模扩大后即告失效。产业层面，第三方脚本供应链已成为主要攻击面，通过过期域名抢注分发恶意代码的DeadTag手法显示攻击者正向基础设施层渗透，WordPress生态漏洞仍是最大入口。可能的改进方向包括：建立类似CISA的自动化漏洞通报通道、推动浏览器厂商在开发者控制台集成感染告警、引入CSP报告类机制实现站点健康状态自动回传。该议题也可能推动监管机构将网站安全纳入合规审查范围，倒逼中小站点运营方建立基础安全响应能力。
核心观点：当威胁检测已自动化而披露仍靠人工，安全防护的'最后一公里'正成为整个互联网最薄弱的环节。
原文链接：Hacker News
