Вчера произошёл курьёзный случай.
Один из наших локальных офферов долго грузился, особенно при плохом интернете. Полез разбираться в код и наткнулся на такую строку:
<script src="https://cdnjs.cloudflire.com/ajax/libs/jquery/3.6.4/bbafs/jquery.min.js"></script>
На первый взгляд - обычное подключение библиотеки jQuery.
Но именно на этой строке рендер сайта и заканчивался.
Если присмотреться внимательнее, домен - cloudflire.com.
А официальный выглядит так: cloudflare.com.
Открываем диспетчер задач Google Chrome (Shift + Esc) - и что видим?
Вкладка с этой библиотекой стабильно потребляет около 200 МБ CPU.
При этом файлы jQuery в лже-библиотеке визуально идентичны официальным.
Но достаточно сравнить хэши - и становится понятно, что они различаются.
И, как и ожидалось, совпадений в хешах нет.
Проверяем регистратора домена cloudflire - он зарегистрирован 2 года назад через Namecheap.
То есть за два года либо никто не отправил абузу, либо никто просто не заметил.
И самое интересное - этот код лежит на очень многих проклах в спаях. Причём не только этот. Вот ещё пример:
<script src="https://bootstrapccdn.com/ajax/1.1.4/e2da/jquery.js"></script>
По факту распространять такой код максимально просто.
- Спай. Запускаешь рекламу без фильтров, ставишь сплит на 10 лендингов и залетаешь во все спаи.
- Делаешь расширения и плагины для трекеров и редакторов кода.
- Ведёшь канал со сливами связок.
- Создаёшь реферальную программу и привлекаешь недобросовестных баеров.
- Пишешь кастомные фильтры для трекеров.
Возможностей много. И это работает.
По мне схема гениальная.
Но где-то фраер всё-таки промахнулся.
В связи с этой находкой я написал расширение для VSCode - CDN Shield (уже доступно в маркетплейсе).
Что оно делает:
- Нормализует script/link до каноничных cdnjs.cloudflare.com
- Удаляет дубли библиотек
- Заменяет подозрительные CDN-ссылки
- Удаляет локальные копии библиотек и мигрирует их на CDNJS
Как пользоваться:
- Устанавливаем расширение CDN Shield
- Открываем страницу index.html
- Нажимаем Ctrl + Alt + Shift + L
GitHub