Атака на DebugBear: что нужно знать владельцам сайтов

29 октября 2026 года в скрипте мониторинга компании DebugBear был обнаружен вредоносный JavaScript. Вскоре после этого DebugBear подтвердила, что злоумышленники скомпрометировали ее DNS-записи. В результате этого инцидента компания рекомендовала своим клиентам удалить скрипт Real User Monitoring с их сайтов, что стало важным шагом для обеспечения безопасности.

Кто под угрозой

Эта угроза касается владельцев сайтов, использующих скрипт Real User Monitoring от DebugBear. В частности, компании, которые отслеживают Core Web Vitals с помощью этого инструмента, должны немедленно удалить скрипт. DebugBear также призвала владельцев сайтов проверить свои аккаунты на предмет несанкционированного доступа и изменений.

Что произошло

В своем обновлении DebugBear сообщила, что злоумышленники получили доступ к ее DNS-записям через регистратор доменов. Первоначальное расследование показало, что атака была нацелена на один из сайтов клиента, и не было обнаружено признаков компрометации внутренних систем компании. Однако в ходе атаки злоумышленники смогли внедрить вредоносный код, который использовался на сайте Polymarket. Анализ кибербезопасности от Hudson Rock выявил, что вредоносный JavaScript на URL-адресе скрипта DebugBear искал торговый клиент, уже доступный в браузере пользователя.

Как это повлияло на пользователей

Согласно отчету Polymarket от 30 октября, вредоносный скрипт смог продать позиции и переместить средства из кошельков некоторых пользователей, используя доступ, который уже имелся у вошедшего в систему посетителя, без необходимости ввода пароля. Это вызывает серьезные опасения у владельцев сайтов: что может сделать вредоносный код с разрешениями пользователя, который уже вошел в систему?

Рекомендации для владельцев сайтов

Владельцам сайтов, использующим скрипт DebugBear, рекомендуется предпринять следующие шаги:

Немедленно удалить скрипт Real User Monitoring DebugBear.

Проверить шаблоны, плагины и менеджеры тегов, очистить кэшированные страницы и убедиться, что скрипт больше не загружается.

Аннулировать открытые сессии и сбросить пароли, начиная с администраторов и других привилегированных пользователей.

Отозвать потенциально скомпрометированные API-учетные данные.

Проверить наличие несанкционированных изменений и постоянных угроз. Это включает в себя обзор истории создания аккаунтов, изменений разрешений, истории менеджера тегов, шаблонов, плагинов и внедренных скриптов.

Проверить логи на предмет необычных входов, новых аккаунтов, измененных файлов и неожиданных транзакций во время активности скрипта.

Если подтверждена компрометация, перевести сайт в режим обслуживания и показать статическую страницу с ответом HTTP 503.

Очистить сайт или восстановить известную чистую резервную копию, убедившись, что вредоносный код и бекдоры удалены перед повторным запуском сайта.

Риски для других сайтов

Полученный вредоносный код нацеливался на торговые аккаунты Polymarket, и злоумышленники использовали скомпрометированный скрипт DebugBear для достижения этой высокоценной цели. Неизвестно, были ли другие клиенты DebugBear также подвержены атаке. Удаление тега мониторинга предотвращает новые загрузки, но не отменяет несанкционированные действия или не удаляет то, что могло быть уже внедрено злоумышленниками. Это подчеркивает важность активного мониторинга безопасности и быстрой реакции на инциденты.