Подарок от Мегафона или как на наших сайтах крутится чужая реклама

Сегодня и я увидел такую рекламу на нескольких сайтах. Правда не на своих. Написал и ТП какого лешего они крутят рекламу.

АПДЕЙТ: чуть позже заметил и на своем сайте.

Вот скрины:

[ATTACH]165043[/ATTACH]

[ATTACH]165044[/ATTACH]

[ATTACH]165045[/ATTACH]

АПДЕЙТ:

https://www.nic.ru/whois/?query=propodpiskimf.ru

А домен Мегафоновский. Так что это ОНИ встраивают рекламу, а для учета переходов используют типо DoubleClick for Publishers (DFP)

И ГЕНИАЛЬНЫЙ ответ Мегафона:

[ATTACH]165046[/ATTACH]

Я настроил на своём сайте CSP и в мобильном интернете мегафона скрипты с домена d.mobilebanner.ru пропали.

В т.ч. перестал загружаться файл d.mobilebanner.ru/p.gif и некий banner.js (или как-то так).

Посмотрим как дальше будет.

У кого-нить был опыт борьбы с мегафоном при помощи CSP?

CSP работает, тока надо аккуратней.

Посмотрите в метрике внешние переходы, должны уменьшится.

Разбирались с проблемой, пока обнаружили, что подмена идет библиотеки bootstrap (идет его подмена и замена другой версии), если поменять bootstrap напр. на bskdfjdke.min.js (и выложить к себе на хостинг), то подмена исчезает.

Может кому поможет..

Я тоже экспериментировал)) Переименовывал, удалял, но они модифицировали другой JS-файл и снова подтягивали свой мобилебаннер.

Вам надо включить CSP, это самый быстрый и дешевый вариант, в отличии от https.

на CSP сервер нужен, шаред не катит

jcrush, направда, https://developers.google.com/web/fundamentals/security/csp/#the_meta_tag

Мета конечно не лучший вариант, но все же лучше, чем ничего.

Я уже и забыл, как там шаредах)) Через PHP header нельзя отдать? Или через htaccess?

почитал по csp - как то спорно

первый коммент https://habrahabr.ru/company/nixsolutions/blog/271575/

"

+1

Пробовали внедрять на своих проектах. В итоге по статистике собранных отчетов мы помогали 0.5% пользователей (т.е. блокировали действительно вредоносные расширения) и мешали примерно 30% пользователей, т.е. в зависимости от браузера (особенно этим грешит Firefox) при заявленной поддержке данной технологии что-нибудь идет не так и JavaScript (особенно inline) перестает работать. На мобильных платформах вообще практически не поддерживается. "

вообще не так бы бесило, если бы написано было что это от провайдера реклама

серч пробили кстати.

Данный комментарий вводит людей в заблуждение. Вероятно, описывается опыт внедрения с наскока. "Мешали примерно 30% пользователей" - явное свидетельство невнимательности/некомпетентности. CSP является абсолютно необходимой вещью, тем более в 2017 году. Но требует аккуратности при внедрении и последующего наблюдения.