Aylık 135 milyon ziyaret alan 15.579 bulaşmış web sitesi ve hepsini uyarma imkânı yok

Araştırmacılar 15.579 bulaşmış site buldu

Güvenlik araştırmacısı Scott Helme, şirketi Report URI'de yürütülen tehdit istihbaratı çalışması kapsamında, şu anda ziyaretçilerine kötü niyetli JavaScript sunan 15.579 web sitesinin doğrulandığını açıkladı. Hacker News'in ana sayfasına çıkan Helme'nin blog yazısına göre bu siteler toplunda, ihtiyatlı bir tahminle ayda 135 milyon ziyaret alıyor.

Bu rakam yalnızca ekibin tam olarak emin olduğu bulaşmaları kapsıyor. Helme, güven düzeyinin henüz yüzde 100'e ulaşmadığı şüpheli sitelerden oluşan ikinci bir listenin binlerce site daha içerdiğini yazıyor. Siteler kendilerini temizlediğinde sayımdan çıkarıldığı için, zaman içinde tespit edilen toplam daha da yüksek.

Veri setinde küresel ölçekte bilinen büyük markalar kayda değer biçimde yok. Helme'ye göre listenin çoğunluğunu kendi pazarlarında önde gelen siteler oluşturuyor; Fransa, İspanya ve Almanya gibi ülkelerde üst sıralarda yer alırken küresel ilk bir milyon listesinin oldukça dışındalar. Yine de tek bir ülke içindeki popülerlik bile önemli bir trafiğin birikmesi için yeterli.

Kötü niyetli scriptler ne yapıyor

Helme bulgularını dört geniş kategoride grupluyor:

• Sıkça Magecart etiketiyle anılan kredi kartı skimming'i; ödeme sayfalarında tam kart bilgilerini yakalayıp saldırganlara gönderiyor.
• Ziyaretçilere sahte insan doğrulama challenge'ı sunan ve hiçbir şeyi doğrulamak yerine onları cihazlarına malware yüklemeye ikna eden ClickFix kampanyaları.
• Yüklenen malware'nin belirli yazılım sürümlerini hedef aldığı cihaz sömürüsü; buna DarkSword veya Coruna gibi spyware yükleyen iOS payload'ları da dahil.
• Ziyaretçileri sahte giriş sayfalarına, uydurma güvenlik uyarılarına ve çeşitli dolandırıcılıklara yönlendiren redirect'ler.

Yerleştirilen payload saldırganın amacına bağlı; Helme, ele geçirilmiş bir sitedeki payload'ların zamanla değişebildiğini de belirtiyor.

Siteler nasıl ele geçirildi

Yazıya göre bulaşmalar dört ana başlangıç vektörüyle geliyor:

• Sitenin kendisinin doğrudan ele geçirilmesi; çoğunlukla bir WordPress açığı ya da benzeri bir zafiyet yoluyla, sitenin kendi JavaScript dosyaları kötü niyetli kod içerecek şekilde değiştiriliyor.
• Pek çok sitenin yüklediği üçüncü taraf bir scriptin bulaşması sonucu her bağımlı sitenin açığa çıktığı supply chain saldırıları.
• Saldırganın doğrudan JavaScript enjekte etmesine izin veren, sitenin kendisindeki cross-site scripting zafiyetleri.
• Helme'nin ekibinin DeadTag adını verdiği teknik; burada bir tehdit aktörü, sitelerin hâlâ JavaScript için referans verdiği süresi dolmuş alan adlarını satın alıyor, canlandırıyor ve o sitelerin yüklemeye devam ettiği URL'lerden malware sunuyor.

Kimsenin çözemediği sorun

Helme'nin gündeme getirdiği temel mesele tespit değil, bildirim. Report URI bulaşmış siteleri bir müşteri ilişkisi üzerinden değil, kendi taramasıyla tespit ettiği için bu sitelere ait kayıtlı iletişim bilgilerine sahip değil. Sorumlu bildirim kaynak yoğun bir süreç, güvenlik iletişim bilgilerini yayınlamaya yönelik security.txt standardının benimsenmesi düşük ve Helme, gönderilen e-posta ve mesajların büyük çoğunluğuna yanıt alınamadığını bildiriyor.

Sonuç olarak bulaşmalar, etkilenen kuruluşlara haber verilmesinden çok daha hızlı bulunuyor. Helme net bir çözümünün olmadığını söyleyip yazının yorumlarında açıkça öneri istiyor.

Masa üzerinde iki yol zaten var. Ulusal CERT ve NCSC'ler — özellikle etkilenen sitelerin çoğunun bulunduğu görülen Avrupa'da — Report URI'nin istihbarat iletişim adresi üzerinden kendi bölgelerindeki bulaşmış sitelerin listesini talep edebilir; gerekçe, ulal kurumların kendi ülkelerindeki kuruluşlara ulaşmak için daha iyi kanallara sahip olabileceği. Tehdit istihbaratı akışlarına ticari erişim isteyen kuruluşlar da başvurabilir.

Neden önemli

Bu, web güvenliği topluluğunun genellikle anekdot boyutunda parçalarla konuştuğu bir sorunun nadir görülen bir nicelleştirmesi. Tahminler tutarsa her ay 135 milyondan fazla ziyaret, kart skimming, kimlik avı veya spyware yükleme kapasitesine sahip sayfalara düşüyor; ve hangi sayfalar olduğu konusunda doğrulanmış bir liste zaten mevcut ama büyük ölçüde kullanılmıyor.

Yazı ayrıca yapısal boşlukları ortaya koyuyor: sorumlu bildirimin toplu site ele geçirmeye ölçeklenebilecek bir mekanizması yok, security.txt benimsenmesi hâlâ marjinal ve süresi dolmuş alan adlarına bağımlılık, çoğu site sahibinin hiç izlemediği bir saldırı yüzeyi yaratıyor. Ulusal CERT'ler Helme'nin teklifini kabul eder mi, bu istihbaratın eninde sonunda birilerini koruyup koruyamayacağını belirleyebilir.