Funciona porque es un ataque de denegación de servicio distribuido , no solo un ataque de denegación de servicio. Puede colar ese fragmento de código en una gran cantidad de páginas web que mucha gente visita (por ejemplo, incluyéndolo dentro de una biblioteca que hace algo útil que otros desarrolladores recogerán y usarán). Del artículo:
En septiembre de 2014, RiskIQ informó que el sitio web de jQuery.com estaba
comprometido, que alberga una biblioteca de JavaScript muy popular que podría
Han sido reemplazados fácilmente por uno malicioso. La amenaza de
los atacantes que inyectan JavaScript malicioso en millones de sitios no son
teórico más largo.
Una gran cantidad de sitios web por ahí usan jQuery u otras bibliotecas por incluyendo archivos de origen de JavaScript remotos (en lugar de hacer copias locales de los mismos; al usar la versión remota, su página web puede cargarse un poco más rápido para sus usuarios y, por supuesto, obtendrá nuevas funciones y correcciones de errores / seguridad "gratis"). Si los archivos de origen de javascript estuvieran comprometidos, todos los sitios web que los incluyeran servirían las versiones comprometidas a sus visitantes, por lo que cada uno de sus usuarios participaría en el DDoS.
El DDoS en sí mismo funciona sobrecargando el servidor web de destino con solicitudes. Imagina que estás trabajando en un restaurante de comida rápida: si una persona entra y ordena la cena, puedes hacerlo. Si toda la ciudad aparece repentinamente y comienza a gritarte órdenes, estarás demasiado abrumado para cumplir una sola orden, y mucho menos a todas.