Más de
100.000 sitios web han sido afectados
por un ataque a la cadena de suministro a través del servicio
Polyfill[.]io. Este ataque se produjo después de que una empresa china
adquiriera el dominio y modificara el
script para redirigir a los usuarios a sitios maliciosos
y de estafa.
Polyfill
es un fragmento de código, generalmente en JavaScript, que añade
funcionalidades modernas a navegadores antiguos que normalmente no las
soportan, permitiendo así que navegadores antiguos utilicen funciones de
JavaScript disponibles solo en navegadores modernos.
El servicio Polyfill es utilizado por cientos de miles de sitios web
para asegurar que todos los visitantes puedan usar la misma base de código,
incluso si sus navegadores no soportan características modernas. Sin embargo,
la empresa de ciberseguridad Sansec advirtió que el dominio y el servicio de
Polyfill fueron adquiridos a principios de este año por una empresa
china llamada «Funnull», la cual modificó el script para introducir
código malicioso en los sitios web, constituyendo un ataque a la cadena de
suministro.
«En febrero de este año, una empresa china compró el dominio y la cuenta de
GitHub. Desde entonces, este dominio ha estado inyectando malware en
dispositivos móviles a través de cualquier sitio que incruste
cdn.polyfill[.]io»,
explicó Sansec en su comunicado.
El
desarrollador original del proyecto Polyfill advirtió
que nunca había sido propietario del sitio polyfill[.]io y
recomendó
a todos los sitios web eliminarlo de inmediato
para reducir el riesgo de un posible ataque a la cadena de suministro. En
respuesta,
Cloudflare y Fastly establecieron sus propios espejos del servicio
Polyfill para que los sitios web pudieran usar una fuente
confiable.
La empresa de ciberseguridad Leak Signal creó un sitio web llamado
Polykill.io que permite buscar sitios usando
cdn.polyfill[.]io y proporciona información sobre cómo cambiar a alternativas.
«Ningún sitio web requiere hoy en día ninguno de los polyfills en la
biblioteca http://polyfill[.]io. La mayoría de las características añadidas
a la plataforma web son rápidamente adoptadas por todos los principales
navegadores», tuiteó el desarrollador original.
En los últimos meses, la
predicción del desarrollador se hizo realidad y el servicio
Polyfill fue redirigido a polyfill.io.bsclink[.]cn, mantenido
por los nuevos propietarios. Los desarrolladores que incrustaron los scripts
cdn.polyfill[.]io (sitio histórico) en sus sitios web obtenían el código directamente del sitio de la
empresa china, que inyectaba código malicioso redirigiendo a los visitantes a
sitios no deseados sin el conocimiento del propietario del sitio web.
Sansec observó que el script modificado redirigía principalmente a
sitios de estafa, como un falso sitio de apuestas deportivas, utilizando
dominios falsos de Google Analytics (www.googie-anaiytics[.]com) o
redireccionamientos como kuurza[.]com/redirect?from=bitget. Los
investigadores han encontrado difícil analizar completamente el script
modificado debido a su especificidad y resistencia a la ingeniería inversa.
«El código tiene una protección específica contra la ingeniería inversa y
solo se activa en dispositivos móviles específicos a horas específicas. No
se activa cuando detecta un usuario administrador y retrasa la ejecución
cuando encuentra un servicio de análisis web, presumiblemente para no
aparecer en las estadísticas», continuó Sansec.
Google ha comenzado a notificar a los anunciantes sobre este ataque a la
cadena de suministro, advirtiéndoles que sus páginas de destino incluyen el
código malicioso y podrían redirigir a los visitantes lejos del sitio previsto
sin el conocimiento o permiso del propietario del sitio web.
Google también advierte que otros servicios, como Bootcss,
Bootcdn y Staticfile, también han sido encontrados causando
redireccionamientos no deseados, lo que potencialmente añade miles, si no
cientos de miles, de sitios afectados por estos ataques a la cadena de
suministro.
IoCs
- https://kuurza[.]com/redirect?from=bitget
- https://www.googie-anaiytics[.]com/html/checkcachehw.js
- https://www.googie-anaiytics[.]com/ga.js
- Listado de sitios que utiliza(ban) Polyfill
Fuente:
SanSec