Над 110 хиляди сайта, използващи отворената JavaScript библиотека Polyfill за осигуряване на съвместимост със стари версии на браузери, станаха жертва на злонамерени изменения, направени в кода на библиотеката от новия собственик на проекта. В библиотеката, изтегляна на сайтове чрез домейн cdn.polyfill.io, беше внедрен злонамерен код, пренасочващ потребителя към измамнически сайтове (например, googie-anaiytics.com), букмейкърски къщи и online-казина.
Проектът Polyfill беше продаден през февруари на компанията Funnull от Китай, която получи достъп до акаунта в GitHub и сайта polyfill.io. Няколко месеца след придобиването новият собственик организира схема за измама, свързана с пренасочването на част от потребителите към съмнителни сайтове. Пренасочването сработваше с определена вероятност, в определени часове и при спазване на условия, като отваряне на сайта от мобилен телефон и отсъствие на бисквитки, сигнализиращи, че страницата е отворена от администратора на сайта. При откритие на системи за уеб аналитика на сайта, пренасочването се забавяше с няколко секунди, за да не се регистрира в статистиката на такива системи.
Забележително е, че новият собственик изтрива от GitHub всякакви оплаквания, сочещи към съмнителна активност или смяна на собственика, и очевидно разчита на това, че потребителите ще приемат автоматичното прехвърляне като инициатива на авторите на първоначално отворените сайтове.
На потребителите на Polyfill се препоръчва да премахнат колкото се може по-скоро кода за зареждане на библиотеката през хостинга cdn.polyfill.io. Отбелязва се, че в съвременните реалности потребността от Polyfill вече не съществува, тъй като всички основни браузъри адекватно поддържат Web API (Polyfill динамично оценява текущия браузър по заглавието на User Agent и за остарелите браузъри генерира функции с реализация на липсващите методи, свойства и API).
Тези, на които Polyfill все още е необходим, могат да се възползват от вариантите на библиотеката, разпространявани от компаниите Fastly и Cloudflare, или могат да използват на своето сървър локална копия на база кода от репозитория с форк, създаден от първоначалния автор на проекта. Огледалата бяха създадени през февруари поради съмнения за надеждността на новия собственик домейн polyfill.io.
Източник: opennet.ru
