15579个网站感染恶意JavaScript，安全披露机制严重滞后

安全研究机构Report URI的威胁情报团队确认，目前有15,579个网站正在运行恶意JavaScript代码，保守估计这些网站每月合计接收超过1.35亿次访问。尽管团队掌握了充分的感染证据，却面临一个棘手难题：发现感染的速度已远超逐一通知受害网站的能力。团队识别的主要攻击类型包括：针对支付页面窃取完整银行卡信息的Magecart信用卡嗅探器；伪装成’人机验证’诱导用户安装恶意软件的ClickFix攻击；针对特定iOS版本植入DarkSword或Coruna间谍软件的设备漏洞利用；以及将访客重定向至钓鱼页面和诈骗网站的恶意跳转。网站被入侵的途径主要分为四类：直接入侵，通常是WordPress等漏洞导致网站自身JS文件被篡改；供应链攻击，网站加载的第三方脚本被感染后波及所有访客；传统XSS跨站脚本漏洞；以及名为DeadTag的威胁组织，通过购买已过期但仍被网站引用JS的域名来分发恶意代码。除已确认的感染站点外，尚有数千个疑似站点待核实。研究团队表示暂时没有解决方案，公开呼吁业界协助改进负责任披露机制。

事件分析

核心观点：当威胁检测已自动化而披露仍靠人工，安全防护的’最后一公里’正成为整个互联网最薄弱的环节。