Report URI 发现 15579 个网站被植入恶意 JavaScript，但通知难题待解

安全研究员、创业者、国际演讲者，专注于Web技术领域。

我们已识别出15，579个当前感染恶意JavaScript的网站，保守估计这些网站每月合计访问量超过1.35亿次。我们知道它们已被感染，也有证据支撑这一判断，但问题在于：我们究竟该如何通知它们？

随着Report URI的威胁情报能力不断增强，识别受感染网站的效率越来越高。遗憾的是，负责任披露的进度没能跟上，我们现在发现感染的速度远超通知受影响组织的速度。我真不知道该如何解决这个问题，所以在此寻求帮助。

核心问题是，我们发现一些网站在运行它们绝对不该运行的JavaScript！以下是一些说明此类攻击有多危险的例子：

对无辜访客而言，这些都是糟糕的场景，攻击者会根据目标更换其payload。

攻击者将恶意JS植入网站的方式有很多，但根据我们观察到的情况，以下是主要的初始入侵向量分类：

遗憾的是，正如我们所见，出问题的方式有很多种。

目前，我们有15，579个独立站点感染了上述某种恶意JS攻击。这些是我们确信无疑的站点，而另外还有数千个我们有所怀疑但尚未达到100%置信度的站点。以9月为例（10月的数据尚未完全处理完毕），以下是我们识别出的新增感染站点统计：

这些是截至今天仍处于感染状态的站点。一旦站点自行清除了感染，我们就会将其从列表中移除，因为无需再通知它们，所以实际感染数量比这更多。

就流量而言，累积速度之快令人惊讶。列表中没有全球领先的网站，但有大量区域性领先网站。例如，查看.fr、.es和.de站点，其中一些在各自国家排名很高，但全球排名几乎进不了前100万。事实证明，成为法国顶级站点仍然能带来相当可观的流量。综合多个数据源并采用极其保守的估算，我们当前感染列表中的站点每月合计访问量轻松达到1.35亿次。曝光面非常大。

我们会继续直接联系那些被识别为影响特别大的站点并尝试通知它们，尽管规模 admittedly 很小。负责任披露流程消耗大量资源，security.txt的使用率很低，我们发出的大多数邮件和消息都石沉大海。我们根本无法扩大这一规模。

由于这些是我们自己爬取和识别的站点，我们没有像客户那样的联系方式。所以，现状就是如此，我希望听取大家关于我们能做些什么的建议。

如果你来自NCSC/CERT，尤其是在欧洲——我们似乎在那里发现了大量受影响站点——请联系intel@report-uri.com，我们很乐意提供你所在地区的受感染站点列表。希望你们在通知受影响站点方面能比我们更成功。

如果你是组织，并认为商业访问我们的威胁情报feed有助于保护你自己的客户，也可以联系intel@report-uri.com获取详情。

不过，回到最初的问题，我很遗憾地说，我对于如何产生更大的积极影响还没有清晰的想法。如果你认为能帮上忙、有想法要提出，或者对我们如何利用这些数据有建议，请在下方评论区留言，我很乐意听取。我们掌握的情报可以帮助保护数百万次网站访问，我们需要帮助将其转化为行动。