Placeholder third-party[.]com Referenced Across 1,700+ Repositories Now Serves Malicious Content
The Hacker News · 24 sept, 17:27
El dominio third-party[.]com, usado como placeholder en documentación técnica durante años, ha sido registrado por atacantes y ahora distribuye ClickFix (un ataque de ingeniería social que roba credenciales mediante manipulación del portapapeles). El dominio está referenciado en más de 1.700 repositorios de GitHub, incluyendo skills de agentes AI y documentación de MCP-servers, lo que expone a usuarios de Windows a malware PowerShell remoto. El hallazgo revela que dominios placeholder no reservados por IANA pueden ser registrados por actores maliciosos y servir contenido malicioso a desarrolladores y usuarios que confían en ellos.
Según Manifold Security, third-party[.]com ha servido la campaña ClickFix desde al menos junio de 2026. Los usuarios de Windows reciben un falso verificador de Cloudflare que envena el portapapeles e instruye copiar y ejecutar un comando mediante el diálogo Ejecutar de Windows; ese comando extrae y ejecuta un payload PowerShell remoto. Los usuarios de macOS ven un mensaje de error falso diciendo que el sitio requiere Windows.
La investigación ha identificado otros 13 dominios placeholder no reservados comprometidos: yoursite[.]com y your-domain[.]com distribuyen scareware y fraude de inversión (falso centro de seguridad macOS, renovación falsa de McAfee, artículo de noticias ZDF falsificado). Estos dominios están presentes en cientos de miles de archivos de GitHub y cientos de skills de agentes. El riesgo es compuesto en sistemas AI: un agente que referencia estas URLs en documentación o configuración podría ser explotado mediante prompt injection para visitar el sitio malicioso.
Puntos clave
- third-party[.]com sirviendo ClickFix desde junio de 2026; referenciado en 1.700+ repositorios GitHub incluyendo skills de agentes AI
- 13 dominios placeholder adicionales comprometidos sirviendo scareware y fraude; algunos con cientos de miles de referencias en GitHub
- Usar solo IANA reserved placeholders: example[.]com, example[.]org, example[.]net
- Los escaneos estáticos no detectan contenido malicioso; la amenaza solo aparece en tiempo de solicitud
Figuras de la fuente
