Исследователи из компании Manifold Security обнаружили, что домен third-party[.]com, который годами используется в документации и коде как условный адрес стороннего сервиса, теперь показывает пользователям Windows вредоносную страницу с ClickFix-атакой. Проблема заключается в том, что ссылки на этот домен встречаются более чем в 1700 публичных репозиториях, включая документацию Chromium, Sanity и Vercel, спецификации W3C, навыки для ИИ-агентов и MCP-серверов.
Дело в том, что, в отличие от example.com, example.net и example.org, которые IANA специально зарезервировала для документации, third-party[.]com всегда оставался обычным регистрируемым доменом, содержимое которого контролирует владелец.
По информации исследователей, как минимум с июня 2026 года для пользователей Windows на этом домене отображается фальшивая CAPTCHA Cloudflare. После клика по этой CAPTCHA сайт незаметно копирует в буфер обмена PowerShell-команду, а затем предлагает нажать Win+R, вставить ее и выполнить.
То есть жертву обманом вынуждают самостоятельно запустить вредоносную команду, с помощью которой с адреса elxxvvx[.]xyz/f скачивается и запускается PowerShell-скрипт.
Как отмечает издание BleepingComputer, в настоящее время домен с пейлоадом уже не резолвится, поэтому цепочка атаки не работает. Однако данные VirusTotal от 2 мая 2026 года свидетельствуют о том, что ранее скрипт загружал ZIP-архив размером 131 Мбайт. Определить назначение пейлоада из этого архива не удалось, так как файл уже недоступен.
Специалисты пишут, что неизвестные злоумышленники, получившие контроль над доменом, тщательно фильтруют посетителей. Так, пользователи macOS и Linux видят не вредоносную инструкцию, а сообщение о том, что их ОС не поддерживается. Как отметил глава исследовательского отдела Manifold Security Акс Шарма (Ax Sharma), из-за такой фильтрации обычная проверка или автоматический сканер, работающий из Linux-окружения, может вообще не выявить угрозу.
Особенно опасным исследователи считают именно многолетнее использование third-party[.]com в качестве «заглушки». Как уже отмечалось выше, этот домен встречается в примерах W3C и Chromium, и некоторые фрагменты кода могут действительно обращаться к нему, если скопировать их без изменений. То есть старый тестовый код, документация или ИИ-агент могут неожиданно обратиться уже не к абстрактному примеру, а к инфраструктуре злоумышленников.
При этом нет доказательств того, что third-party[.]com изначально регистрировали со злым умыслом: домен существует с 1996 года, и исследователям не удалось установить, когда и каким образом у домена изменился владелец. Также пока неизвестны случаи, когда ссылки из документации действительно приводили бы к заражению машин разработчиков.
Аналитики Manifold Security предупреждают, что обнаружили еще 13 незарезервированных доменов-заглушек. Два из них, yoursite[.]com и your-domain[.]com, уже показывают пользователям скам для macOS и scareware, тогда как другие посетители видят обычные страницы.
Специалисты рекомендуют разработчикам всегда проверять документацию, тестовый код и навыки ИИ-агентов на присутствие таких адресов и использовать в примерах только зарезервированные IANA домены — example.com, example.org и example.net.
