Más de 100,000 sitios web han sido afectados por un ataque a la cadena de suministro a través del servicio Polyfill.io. Este ataque se produjo después de que una empresa china adquiriera el dominio y modificara el script para redirigir a los usuarios a sitios maliciosos y de estafa.

Polyfill es un fragmento de código, generalmente en JavaScript, que añade funcionalidades modernas a navegadores antiguos que normalmente no las soportan, permitiendo así que navegadores antiguos utilicen funciones de JavaScript disponibles solo en navegadores modernos.

El servicio Polyfill.io es utilizado por cientos de miles de sitios web para asegurar que todos los visitantes puedan usar la misma base de código, incluso si sus navegadores no soportan características modernas. Sin embargo, la empresa de ciberseguridad Sansec advirtió que el dominio y el servicio de Polyfill.io fueron adquiridos a principios de este año por una empresa china llamada ‘Funnull‘, la cual modificó el script para introducir código malicioso en los sitios web, constituyendo un ataque a la cadena de suministro.

«En febrero de este año, una empresa china compró el dominio y la cuenta de GitHub. Desde entonces, este dominio ha estado inyectando malware en dispositivos móviles a través de cualquier sitio que incruste cdn.polyfill.io«

Explicó Sansec en su comunicado.

El desarrollador original del proyecto Polyfill advirtió que nunca había sido propietario del sitio polyfill.io y recomendó a todos los sitios web eliminarlo de inmediato para reducir el riesgo de un posible ataque a la cadena de suministro. En respuesta, Cloudflare y Fastly establecieron sus propios espejos del servicio Polyfill.io para que los sitios web pudieran usar una fuente confiable.

«Ningún sitio web requiere hoy en día ninguno de los polyfills en la biblioteca http://polyfill.io. La mayoría de las características añadidas a la plataforma web son rápidamente adoptadas por todos los principales navegadores.»

Tuiteó el desarrollador original.

En los últimos meses, la predicción del desarrollador se hizo realidad y el servicio Polyfill.io fue redirigido a polyfill.io.bsclink.cn, mantenido por los nuevos propietarios. Los desarrolladores que incrustaron los scripts cdn.polyfill.io en sus sitios web obtenían el código directamente del sitio de la empresa china, que inyectaba código malicioso redirigiendo a los visitantes a sitios no deseados sin el conocimiento del propietario del sitio web.

Sansec observó que el script modificado redirigía principalmente a sitios de estafa, como un falso sitio de apuestas deportivas, utilizando dominios falsos de Google Analytics (www.googie-anaiytics[.]com) o redireccionamientos como kuurza[.]com/redirect?from=bitget. Los investigadores han encontrado difícil analizar completamente el script modificado debido a su especificidad y resistencia a la ingeniería inversa.

«El código tiene una protección específica contra la ingeniería inversa y solo se activa en dispositivos móviles específicos a horas específicas», continuó Sansec. «No se activa cuando detecta un usuario administrador y retrasa la ejecución cuando encuentra un servicio de análisis web, presumiblemente para no aparecer en las estadísticas.»

Google ha comenzado a notificar a los anunciantes sobre este ataque a la cadena de suministro, advirtiéndoles que sus páginas de destino incluyen el código malicioso y podrían redirigir a los visitantes lejos del sitio previsto sin el conocimiento o permiso del propietario del sitio web.

Google también advierte que otros servicios, como Bootcss, Bootcdn y Staticfile, también han sido encontrados causando redireccionamientos no deseados, lo que potencialmente añade miles, si no cientos de miles, de sitios afectados por estos ataques a la cadena de suministro.

Google advierte que desaprobarán los anuncios relacionados si encuentran estos redireccionamientos durante las comprobaciones regulares de los destinos de los anuncios.

Más información:

• https://developer.mozilla.org/en-US/docs/Glossary/Polyfill
• https://publicwww.com/websites/%22cdn.polyfill.io%22/
• https://web.archive.org/web/20240229113710/https://github.com/polyfillpolyfill/polyfill-service/issues/2834#issuecomment-1963842875
• https://sansec.io/research/polyfill-supply-chain-attack
• https://cdnjs.cloudflare.com/polyfill/
• https://community.fastly.com/t/new-options-for-polyfill-io-users/2540
• https://github.com/polyfillpolyfill/polyfill-service/issues/2873

Fuentes:

https://unaaldia.hispasec.com/2024/06/ataque-a-la-cadena-de-suministro-mas-de-100000-sitios-web-comprometidos-por-polyfill-io.html