Report URI 发现 15579 个网站感染恶意 JavaScript，通知成难题

安全研究员、企业家和国际演讲者，专攻Web技术。

我们已识别出15,579个目前感染了恶意JavaScript的网站，保守估计这些网站每月合计访问量超过1.35亿次。

我们知道它们已被感染，也有证据支持这一判断，但问题在于：我们究竟该如何通知它们？

随着Report URI威胁情报能力的增强，识别受感染网站变得越来越高效。遗憾的是，负责任的披露流程未能同步跟上，我们现在发现感染的速度远远快于通知受影响组织的速度。

我真的不知道如何解决这个问题，所以在此寻求帮助。

核心问题在于，我们发现一些网站正在运行它们绝对不该运行的JavaScript！以下是一些展示问题严重性的例子：

对无辜访客而言，这些都是糟糕的场景，攻击者会根据目标更换其payload。

攻击者可以通过多种方式将恶意JS植入网站，但根据我们观察到的情况，以下是按初始向量划分的主要类别：

遗憾的是，正如我们所见，出错的方式五花八门。

目前，我们有15,579个独立站点感染了上述某种恶意JS攻击。这些是我们确信无疑的站点，而我们有怀疑但尚未达到100%置信度的站点还有数千个。以9月为例（10月的数据尚未完全处理完毕），以下是我们识别出的新增感染站点统计：

这些是截至今天仍处于感染状态的站点。一旦站点清除了自身感染，我们就会将其从列表中移除，因为我们无需再尝试通知它们，所以实际感染数量多于这个数字。

就流量而言，累积速度之快令人惊讶。列表中没有全球领先的网站，但存在大量区域性领先网站。例如，观察.fr、.es和.de站点，其中一些在各自国家排名非常高，但全球排名几乎进不了前100万。事实证明，成为法国顶级站点仍能带来相当可观的流量。利用多种数据来源，并采用极为保守的估计，我们当前感染列表中的站点每月合计访问量轻松达到1.35亿次。曝光量非常巨大。

我们继续直接联系那些被识别为影响特别大的站点并尝试通知它们，尽管规模 admittedly 很小。负责任的披露流程消耗大量资源，security.txt的使用率很低，我们发出的大多数邮件和消息都石沉大海。我们根本无法扩大这一流程的规模。

由于这些是我们自己爬取和识别的站点，我们没有像对待客户那样掌握其联系方式。所以，现状就是这样，我希望听取大家关于我们能做什么的建议。

如果您来自NCSC/CERT，尤其是在欧洲——我们似乎在那里发现了大量受影响站点——请联系intel@report-uri.com，我们很乐意提供您所在地区的受感染站点列表。希望您能比我们更成功地通知受影响站点。

如果您是组织，并认为商业访问我们的威胁情报feed有助于保护您自己的客户，也可以联系intel@report-uri.com获取详情。

不过，回到最初的问题，我很痛心地说，我对于如何产生更大的积极影响还没有清晰的想法。如果您认为能提供帮助、有想法要提出，或对我们如何处理这些数据有建议，请在下方评论区留言，我很乐意听取。

我们掌握的情报可以帮助保护数百万次网站访问，我们需要帮助将其转化为行动。