Contexte et portée

Report URI a détecté 15 579 sites web contenant du JavaScript malveillant. En se basant sur des sources de trafic conservatrices, ces sites génèrent plus de 135 millions de visites chaque mois. La majorité ne figurent pas parmi les leaders mondiaux, mais plusieurs sont parmi les plus visités dans leurs pays (.fr, .es, .de), ce qui augmente l’exposition des visiteurs.

Vecteurs d’infection

Les infections se répartissent en quatre catégories principales. Compromission directe implique souvent une vulnérabilité WordPress ou similaire, où les fichiers JavaScript du site sont modifiés. Chaîne d’approvisionnement survient lorsqu’un script tiers, chargé par le site, est déjà infecté et transmet le code malveillant à chaque visiteur. Cross‑Site Scripting (XSS) reste une méthode classique : une faille d’injection permet d’insérer du code dans la page. Enfin, le groupe nommé DeadTag rachète des domaines expirés encore référencés par des sites, les réactive et y diffuse du malware.

Les charges utiles observées comprennent les skimmers de type Magecart (exfiltration de données de cartes bancaires), les attaques ClickFix (redirection vers des challenges humains qui installent des logiciels malveillants), l’exploitation de dispositifs iOS (exemple DarkSword, Coruna) et les redirections vers des pages de phishing ou d’arnaque.

Défis de la divulgation responsable

Report URI signale que la notification des propriétaires est entravée par plusieurs facteurs. Les adresses security.txt sont rarement utilisées, ce qui limite les points de contact officiels. Depuis le RGPD (2018), les informations WHOIS sont souvent masquées ou redirigées vers des boîtes génériques de registraires, rendant le contact direct difficile. De plus, de nombreux sites sont derrière des CDN ou des services de proxy, ce qui masque l’identité de l’hébergeur.

Le processus de notification consomme beaucoup de ressources humaines. L’envoi d’emails à plus de 15 000 sites nécessite de choisir des adresses (info@, support@, abuse@…) sans garantie de délivrabilité. Les réponses sont rares, et un envoi massif risque de dégrader la réputation d’expéditeur, limitant l’efficacité d’une campagne automatisée.

Implications et pistes d’amélioration

Le constat montre un déséquilibre croissant entre la capacité de détection (qui s’est accélérée) et les moyens de communication avec les victimes. Une solution envisagée serait de renforcer la coopération avec les CERT/NCSC européens, qui disposent de canaux de contact privilégiés. Fournir des listes régionales aux autorités pourrait améliorer le taux de prise en compte.

Par ailleurs, l’adoption généralisée de security.txt et la mise à jour des politiques WHOIS pour inclure des contacts de sécurité valides pourraient réduire les frictions. Enfin, le développement d’un protocole standardisé d’échange d’indicateurs de compromission (IoC) entre les fournisseurs de threat intelligence et les plateformes d’hébergement pourrait automatiser partiellement la notification, tout en limitant le risque de spam.