Een selecte groep Chinese gebruikers van VPN-diensten en het Tor-netwerk zijn het doelwit van een JavaScript-aanval geworden waarbij werd geprobeerd om hun echte identiteit te achterhalen. Dat meldt beveiligingsbedrijf AlienVault Labs. Het bedrijf nam een "watering hole" aanval waar, waarbij verschillende Chineestalige websites van NGO's, Oeigoeren en Islamitische organisaties waren gehackt.

Watering holes worden zo genoemd omdat potentiële slachtoffers de websites uit zichzelf bezoeken. Bij de meeste van dit soort aanvallen plaatsen de aanvallers kwaadaardige code op de gehackte website die bezoekers, vaak via een exploit, met malware probeert te infecteren. Onderzoekers hebben op de gehackte Chineestalige websites een nieuwe techniek waargenomen die nog niet eerder bij watering holes is toegepast.

Op de websites was een kwaadaardig JavaScript-bestand geplaatst dat gebruikers via "JSONP hijacking" kwetsbaarheden in meer dan 15 grote Chineestalige websites aanvalt. Via JSONP-verzoeken konden de aanvallers de privégegevens van gebruikers stelen als ze op een van de kwetsbare websites waren ingelogd. Het gaat om grote Chinese portalen, zoals Baidu, QQ en Sina. Vervolgens stuurt de JavaScript-code de informatie naar een server van de aanvallers.

Het kan dan gaan om de echte naam van de gebruiker, alsmede zijn e-mailadres. Volgens Alien Vault Labs was een kleine groep mensen het doelwit van de campagne, die als doel heeft het ontmaskeren van gebruikers die deze websites bezoeken, ook als ze via Tor of een VPN komen. Onderzoekers roepen de Chinese websites in kwestie op om de JSONP-kwetsbaarheden te verhelpen. Daarnaast krijgen gebruikers het advies om geen gevoelige websites te bezoeken nadat ze zijn ingelogd op een andere website.