Este incidente detalla cómo cuatro operaciones de JavaScript malicioso lograron evadir las herramientas de seguridad tradicionales, como VirusTotal y URLScan, al emplear técnicas avanzadas de ofuscación y ejecución selectiva. La causa raíz subyacente es la capacidad de los atacantes para inyectar código malicioso en el lado del cliente de sitios web de e-commerce, ya sea a través de cadenas de suministro de marketing comprometidas (tag managers) o mediante la inyección directa en el HTML de la tienda, a menudo explotando credenciales de administración comprometidas o plugins vulnerables.
La cascada de fallo se inicia con la inyección del script, que luego utiliza una compleja red de 'gates' o condiciones (basadas en dispositivo, hora, geografía, referrer, estado de la sesión, etc.) para permanecer inactivo y no detectable por escaneos estáticos o visitas únicas de crawlers. Estas condiciones aseguran que el comportamiento malicioso solo se manifieste en el 'víctima' objetivo, haciendo que la detección sea extremadamente difícil. Las salvaguardas tradicionales fallaron porque se basan en firmas conocidas o en análisis estáticos que no pueden simular el comportamiento dinámico y condicional del JavaScript en un entorno de navegador real.
Cloudflare Page Shield ML, utilizando un Graph Neural Network (GNN) para el análisis estructural del código y complementado con Large Language Models (LLM) y modelos frontera, logró detectar estas amenazas. La clave de su éxito reside en la capacidad de razonar sobre el código como un grafo, identificando patrones sospechosos a través de la minificación, el renombramiento y la ofuscación, sin depender de URLs o firmas de bytes conocidas. Además, la visibilidad continua del comportamiento del script en el navegador en tiempo real fue crucial para desenmascarar las técnicas de ejecución selectiva y ofuscación.