Домен-заглушка third-party.com из документации теперь раздаёт ClickFix

Домен third-party.com, который разработчики долго использовали как обозначение произвольного внешнего сайта, API или сервиса — по аналогии с example.com, — превратился в площадку для атаки типа ClickFix. Об этом сообщила компания Manifold Security, обнаружившая проблему при изучении публичной документации на AI-навыки и MCP-серверы, а затем подтвердил и сам BleepingComputer.

Что происходит

При заходе на сайт пользователь Windows видит поддельный экран проверки Cloudflare с надписью «Performing security verification» и кнопкой «Verify you are human». После нажатия страница копирует в буфер обмена вредоносную команду PowerShell и предлагает нажать Win+R, вставить содержимое буфера через Ctrl+V и запустить его.

Команда восстанавливает адрес полезной нагрузки — elxxvvx[.]xyz/f, — скачивает оттуда скрипт PowerShell и выполняет его. Именно в этом суть ClickFix: жертва сама вводит команду, поэтому вредонос не загружается напрямую с сайта и способен обойти часть антивирусной защиты. На момент проверки домен elxxvvx[.]xyz уже не резолвился, и цепочка была разорвана. По данным отчёта Hybrid Analysis от 2 мая 2026 года, ранее скрипт скачивал zip-архив на 134 МБ, распаковывал его и пытался запустить файл draw.io.exe; что именно делала эта нагрузка, установить не удалось — архив уже недоступен.

Атака нацелена только на Windows. Пользователям macOS и Linux показывают почти такую же страницу, но с сообщением, что их система не поддерживается: ни подмены буфера, ни нагрузки. По словам Акса Шармы из Manifold, злоумышленник «показывает оружие только тем целям, против которых оно работает» — поэтому сканер на Linux-сервере не заметит ничего подозрительного.

Почему заглушка оказалась опасной

В отличие от example.com, example.net и example.org, которые IANA специально зарезервировала для документации и запрещает регистрировать, third-party.com — обычный домен, контентом которого распоряжается владелец. Он зарегистрирован ещё в 1996 году; когда и как контроль над ним сменился, установить не удалось, и признаков того, что его завели ради атак, нет.

Между тем домен встречается в спецификациях W3C (Geolocation, Compute Pressure), документации Chromium и множестве примеров кода — по данным Manifold, более чем в 1500 файлах в свыше 1700 репозиториев, включая проекты Chromium, Sanity и Vercel. Некоторые примеры содержат реальные сетевые запросы: разработчики, скопировавшие такой код буквально, могут заставить браузер или инструмент обратиться к настоящему third-party.com.

Подтверждённых случаев успешных атак на устройства разработчиков пока нет, а вредоносная страница показывается как минимум с июня 2026 года. Однако домен остаётся активным, и владелец в любой момент может подключить новую рабочую нагрузку.

Источник: Bleeping Computer