BlockBeats 搜尋頁如何加載可疑腳本，無需讀者點擊？

Question

Accepted Answer

BlockBeats 搜尋頁的潛在風險：無需互動即觸發的攻擊鏈

BlockBeats 搜尋頁面透過載入來自 www.applonews[.]com 的可疑腳本 in-static.js，在讀者不知情的情況下，可能觸發 DarkSword 攻擊鏈。這表示，使用者無需點擊任何陌生連結，瀏覽搜尋結果即可潛在接觸惡意程式碼，構成一定的安全隱憂。
腳本注入的機制：伺服器直接返回惡意程式碼

伺服器直接返回了腳本 in-static.js 的完整程式碼，並由 BlockBeats 搜尋頁發起加載。腳本會於網頁中插入一個隱藏頁面，進而載入 start-view.html，整個過程無需讀者任何互動。由於攻擊入口隱藏在正規網站的搜尋結果中，使用者很難察覺潛在的風險。
DarkSword 攻擊的目標：多個主流錢包

DarkSword 攻擊由 Google 威脅情報團隊揭露，由六個漏洞組成，且入口配置中將 imToken、MetaMask、TronLink 等主流錢包列為目標。即使使用者未連接錢包或確認交易，攻擊者仍可能透過漏洞讀取手機內保存的錢包數據，進而竊取私鑰或助記詞，造成資產損失。這突顯了網站安全與使用者個人資產安全之間緊密的關聯。

閱讀紀錄

隱藏 →

此記錄會在頁面關閉後消失

BlockBeats 搜尋頁如何加載可疑腳本，無需讀者點擊？

Loading

你覺得這篇文章有幫助嗎？

有幫助

沒幫助

回報問題

1

0

0

分享給好友