如何告知15k个感染网站？

我们已经识别出 15,579 个目前感染了恶意 JavaScript 的网站，据保守估计，它们每月合计会收到超过 1.35 亿次的访问。

我们知道它们受到了感染，并且有证据支持这一点，但现在有一个问题：我们到底该如何把这件事通知到它们所有人呢？

随着我们在 Report URI 上的威胁情报（Threat Intelligence）能力的增长，识别被黑客入侵的网站变得越来越高效。不幸的是，负责任的披露（responsible disclosure）机制并没有跟上步伐，我们现在发现感染的速度，远远快于我们希望通知受影响组织的速度。

我真心不知道该如何解决这个问题，所以我在此寻求帮助。

我们发现了哪些攻击

核心在于，我们发现网站正在运行它们绝对不应该运行的 JavaScript！以下是一些恶意程度极高的例子：

· 信用卡窃取器（Credit card skimmers）——通常被称为“Magecart”，它们以支付页面为目标，窃取完整的卡片详细信息并将其发送给攻击者。

· ClickFix 攻击（ClickFix attacks）——旨在欺诈用户完成“证明你是人类”的验证，转而在他们的设备上安装恶意软件。

· 设备利用（Device exploitation）——加载恶意软件以攻陷特定版本的 iOS 并安装间谍软件，例如 DarkSword 或 Coruna。

· 重定向（Redirects）——这些可以将访客发送到任何地方，包括用于网络钓鱼的虚假登录页面、设备安全“警告”、诈骗等等。

对无辜的访客来说，所有这些都是糟糕的场景，攻击者会根据其目标更改其攻击载荷（payloads）。

这些网站是如何被黑客入侵的

攻击者将恶意 JS 植入网站的方法有很多，但以下是我们根据观察到的情况，将初始攻击途径（vectors）归纳出的主要类别：

· 直接入侵（Direct compromise）——通常是利用 WordPress 漏洞或类似漏洞，修改网站自身的 JS 文件以包含恶意 JS。

· 供应链（Supply chain）——网站加载的第三方脚本文件感染了恶意软件，随后被加载到网站上，暴露了所有访客。

· XSS——古老传统的 XSS，即网站本身存在的允许注入 JS 的漏洞。

· DeadTag——这是我们最近命名的一个威胁组织，通过购买网站仍在其加载 JS 的过期域名，将其复活并分发恶意软件。

正如我们所看到的，不幸的是，事情出错的方式有很多种。

问题的规模

目前，我们有 15,579 个独立网站感染了上述某种恶意 JS 攻击。这些是我们确信无疑的网站，而那些我们心存怀疑但尚未达到 100% 确信的网站名单还有数千个。以 9 月份为例，因为我们还没有完全处理完 10 月份的所有数据，这是我们新识别出受到感染的网站统计数据：

这些是截至今天仍然遭到感染的网站。一旦网站清除自身的感染，我们就会将其从列表中移除，因为我们并不打算去通知他们，所以实际的数量比这还要多。

就流量而言，这些访问量的累积速度之快相当令人惊叹。列表中的网站没有一个是全球行业翘楚，但我们在区域性佼佼者中拥有极高的存在感。例如，如果我们查看 .fr、.es 和 .de 的网站，其中有一些在该国排名极高，但在全球范围内却勉强挤入前 100 万名（Top 1 Million）。

事实证明，成为法国的顶尖网站依然能为你带来相当可观的流量。结合各种数据来源，并在估算时保持极端保守的态度，我们目前这份受感染网站列表的总访问量轻松达到了每月 1.35 亿次。这是一个相当大的曝光量。

那么，我们该怎么做？

我们继续直接联系那些我们认为具有特别重大影响的网站并尝试通知他们，尽管诚然这只是在较小规模上进行的。负责任披露（responsible disclosure）的过程消耗了大量资源，security.txt 的使用率很低，并且我们绝大多数的电子邮件和消息都石沉大海。我们根本无法扩大这一工作的规模。

由于这些都是我们自己抓取和识别的网站，我们没有像对待客户那样现成的联系方式。因此，就目前的情况来看，我们的现状就是如此，我很希望能听到关于我们还能做些什么建议。

如果你来自国家网络安全中心（National Cyber Security Centre, NCSC）/计算机应急响应团队（Computer Emergency Response Team, CERT），特别是在我们似乎发现大量受影响网站的欧洲地区，请通过 [email protected] 与我们联系，我们将非常乐意提供您所在地区的受感染网站列表。希望你们在通知受影响网站方面能比我们取得更大的成功。

如果你是一家组织，并且认为商业化获取我们的威胁情报源（threat intelligence feeds）有助于保护你自己的客户，你也可以通过 [email protected] 联系我们以了解详情。

不过回到最初的问题，我很难过地说，对于如何才能产生更积极的影响，我并没有清晰的头脑。如果你认为有什么可以帮忙的、想提出一个想法，或者对我们如何处理所有这些数据有什么建议，请在下方的评论区留言，我非常乐意倾听您的意见。

我们掌握的情报可以帮助保护数百万次的网站访问，我们需要帮助将其转化为实际行动。

更新：2026年11月6日 21:36 UTC

各个社交渠道特别是 HN（Hacker News）讨论串上提出了很多问题，所以我想在一个中心位置统一回答它们：

为什么没有公布网站列表？原因有几个：

· 我不想让这变成一场“点名羞辱（name and shame）”，因为该列表上的网站归根结底也是攻击的受害者。有人入侵了他们的网站，而站长们可能对此毫不知情。

· 如果这份名单被广泛传播并纳入黑名单（blocklist），事后想要将你的域名从这些名单中移除几乎是不可能的。对于一家小型企业来说，这可能是毁灭性的打击。

· 许多此类网站可能是因为WordPress、Magento或类似系统中的现有漏洞遭到利用而受到感染。分发一份可行的攻击目标名单似乎并不是个好主意。

为什么不使用WHOIS（WHOIS）联系方式？自2018年GDPR（GDPR）实施以来，我发现这些数据基本上毫无用处。你得到的要么是空信息、注册商网页表单，要么是诸如Namecheap（Namecheap）或GoDaddy（GoDaddy）隐私邮箱之类的中继地址。

为什么不联系托管服务商？因为这些网站中有相当一部分位于CDN（CDN）服务商或其他代理服务后面，因此IP解析无法提供任何关于托管服务商是谁的信息以便与他们取得联系。

为什么不直接向每个网站发送电子邮件？我或许可以尝试将其自动化，但发送到哪个邮箱地址呢？我不得不尝试挑选一些常见的邮箱，如info@、support@、abuse@，或者其他邮箱？而且这里面将近有16,000个网站，你尝试过发送16,000封电子邮件吗？人工筛选的邮件几乎没有任何回复率，因此狂轰滥炸式的邮件群发似乎无济于事，还可能会毁了我的邮箱信誉！

你喜欢这篇文章或者觉得它对你有帮助吗？

☕️ 考虑请我喝杯咖啡以示感谢吧！

🔔 订阅以在我发布内容时获取免费通知！

🤩 成为会员并支持我的内容！

标签：Threat Intelligence、Report URI、javascript