Placeholder-domäner som yoursite.com och your-domain.com förekommer i 359 000 GitHub-filer och 349 AI-agent skills. Nu visar forskning att dessa domäner aktivt serverar bedrägerier och skadlig kod till besökare.

Säkerhetsföretaget Manifold Security har kartlagt hur vanliga dokumentationsdomäner, som normalt används som exempeladresser i kodexempel, har kapats av angripare. Domänerna syns i repositories från välkända aktörer som Chromium, Sanity och Vercel.

Tre typer av attacker

Manifold identifierade tre separata attackvektorer:

• third-party.com: Levererar ClickFix-attack till Windows-användare. En falsk Cloudflare-kontroll lägger ett PowerShell-kommando i urklippet och ber användaren köra det.
• your-domain.com: Visar ett falskt "MacOS Security Center" som hävdar att fyra virus hittats och säljer förfalskad McAfee-programvara till 55% rabatt.
• yoursite.com: Visar en förfalskad ZDF-nyhetsartikel som marknadsför ett investeringsbedrägeri.

Attackerna använder cloaking-teknik: statiska kontroller och textbaserade hämtningar ser ett normalt parkeringssida. Skadlig kod aktiveras först när JavaScript körs i en riktig webbläsare.

Vad detta betyder för svenska företag

Svenska utvecklarteam som kopierar kodexempel från GitHub riskerar att sprida skadliga domänreferenser i intern dokumentation och automatiserade system. AI-agenter som läser dessa filer kan skicka användare till bedrägerisidor utan att någon larmklocka ringer.

Tre åtgärder att genomföra nu:

• Sök igenom era repositories och dokumentation efter yoursite.com, your-domain.com och third-party.com.
• Ersätt med IANA-reserverade exempeldomäner: example.com, example.org eller example.net.
• Granska AI-agenternas tool-konfigurationer och MCP-serverdokumentation för samma mönster.

Manifold har kontaktat GitHub och berörda domäninnehavare. Problemet kvarstår i befintliga filer tills ägarna uppdaterar dem manuellt.