هک DNS دیباگ‌بیر: تزریق کد مخرب در ابزار محبوب سئوکاران
مهاجمان با هک رکوردهای DNS ابزار نظارتی DebugBear، کدهای جاوااسکریپت مخرب را در سایت‌های مشتریان تزریق کردند. صاحبان وب‌سایت‌ها باید فوری اسکریپت آن را حذف کنند.
در دنیای سئو و توسعهٔ وب، ابزارهای نظارت بر تجربهٔ کاربر نقش مهمی ایفا می‌کنند؛ اما وقتی همین ابزارها هدف حمله قرار بگیرند، به دروازه‌ای برای نفوذ مهاجمان تبدیل می‌شوند. 🔒
🚨 چه اتفاقی افتاد؟
در ۲۹ اکتبر ۲۰۲۶، شرکت DebugBear که ابزار پایش واقعی کاربران (Real User Monitoring) آن به‌طور گسترده توسط متخصصان سئو استفاده می‌شود، از یک حملهٔ امنیتی خبر داد. بررسی‌ها نشان داد مهاجمان موفق شده‌اند از طریق ثبت‌کنندهٔ دامنه، رکوردهای DNS این شرکت را به کنترل خود درآورند.
شرکت دیباگ‌بیر اعلام کرد تحقیقات اولیه نشان می‌دهد این حمله ابتدا یک وب‌سایت مشتری خاص را هدف قرار داده است و تاکنون نشانه‌ای از نفوذ به سیستم‌های داخلی خود شرکت دیده نشده است. با این حال، به دلیل اختلال در زیرساخت، دامنهٔ این شرکت قادر به دریافت ایمیل نبود و اطلاع‌رسانی از طریق حساب X (توییتر سابق) انجام شد.
💸 سرقت از کیف پول کاربران بدون نیاز به رمز عبور
شرکت امنیت سایبری Hudson Rock در تحلیل خود کشف کرد که در همان تاریخ، یک کد جاوااسکریپت مخرب در آدرس اسکریپت DebugBear که توسط پلتفرم معاملاتی Polymarket استفاده می‌شد، جای گرفته است.
این کد مخرب به دنبال کلاینت معاملاتی فعال در مرورگر کاربرانی می‌گشت که از پیش وارد حساب خود شده بودند. گزارش حادثهٔ Polymarket در ۳۰ اکتبر تأیید کرد که این اسکریپت توانسته موقعیت‌های معاملاتی برخی کاربران را بفروشد و موجودی کیف پول آن‌ها را جابه‌جا کند؛ آن هم صرفاً با سوءاستفاده از دسترسی مرورگر کاربرِ لاگین‌شده و بدون هیچ نیازی به رمز عبور.
نگرانی اصلی برای سایر صاحبان وب‌سایت دقیقاً همین است: یک کد مخرب با مجوزهای بازدیدکننده‌ای که از قبل وارد حساب شده، چه کارهایی می‌تواند انجام دهد؟
🛠️ اقدامات فوری برای تیم‌های سئو و توسعه
اگر وب‌سایت شما برای ردیابی شاخص‌های Core Web Vitals از اسکریپت پایش واقعی کاربران DebugBear استفاده می‌کند، باید فوراً آن را حذف کنید. نمونه کدی که باید پاک شود معمولاً به این شکل است:
<script async src="https://cdn.debugbear.com/YOUR_SCRIPT_ID.js"></script>
شناسهٔ اسکریپت در هر سایت متفاوت است. تیم‌های سئو باید این موضوع را به توسعه‌دهندگان و کارشناسان امنیت ارجاع دهند تا مراحل زیر طی شود:
- 🗑️ حذف فوری اسکریپت دیباگ‌بیر از قالب‌ها، افزونه‌ها و تگ‌منیجرها
- 🧹 پاک‌سازی کش صفحات و اطمینان از عدم بارگذاری مجدد اسکریپت
- 🔑 باطل کردن نشست‌های (Session) افشاشده و تغییر رمز عبور مدیران و کاربران دارای دسترسی ویژه
- ⚙️ لغو اعتبارنامه‌های API که احتمال لو رفتن آن‌ها وجود دارد
- 🔍 بررسی تاریخچهٔ تگ‌منیجر، قالب‌ها و افزونه‌ها برای یافتن تغییرات غیرمجاز یا درِ پشتی (Backdoor)
- 📊 تحلیل لاگ‌ها برای شناسایی ورودهای مشکوک، حساب‌های جدید و تراکنش‌های غیرعادی در زمان فعال بودن اسکریپت
⚠️ اگر سایت هک شده بود چه کنیم؟
اگر نفوذ تأیید شد، تیم توسعه باید سایت را ایزوله کرده و یک صفحهٔ نگهداری ایستا با پاسخ HTTP 503 نمایش دهد. سپس تیم امنیت باید سایت را پاک‌سازی کند یا نسخهٔ پشتیبان سالم را بازگردانی نماید. پیش از آنلاین شدن مجدد، باید از حذف کامل کدهای مخرب اطمینان حاصل شود.
🌐 خطر برای سایر وب‌سایت‌ها
محمولۀ مخربی که بازیابی شد، حساب‌های معاملاتی Polymarket را هدف قرار داده بود و مهاجمان از اسکریپت دیباگ‌بیر برای رسیدن به این هدف ارزشمند و سرقت سرمایه استفاده کردند. هنوز مشخص نیست آیا سایر مشتریان DebugBear نیز کد مخرب دریافت کرده‌اند یا خیر.
به یاد داشته باشید حذف تگ نظارتی فقط جلوی بارگذاری‌های جدید را می‌گیرد و اقدامات غیرمجاز قبلی یا کدهایی که مهاجم از پیش در سیستم کاشته است را خنثی نمی‌کند. ✨
منبع: Search Engine Journal