Смяната на собственика на библиотеката Polyfill доведе до добавяне на злонамерен код на 110 хиляди сайта.

Над 110 хиляди сайта, използващи отворената JavaScript библиотека Polyfill за осигуряване на съвместимост със стари версии на браузъри, станаха жертва на злонамерени изменения, направени в кода на библиотеката от новия собственик на проекта. В библиотеката, която се зарежда на сайтове чрез домейна cdn.polyfill.io, беше вграден злонамерен код, пренасочващ потребителите към измамнически сайтове (например, googie-anaiytics.com), букмейкърски къщи и онлайн казина.

Проектът Polyfill беше продаден през февруари на компанията Funnull от Китай, която получи достъп до акаунта в GitHub и сайта polyfill.io. Няколко месеца след придобиването новият собственик организира схема за измама, свързана с пренасочване на част от потребителите към съмнителни сайтове. Пренасочването действаше с определена вероятност, в определени часове и при спазване на условия, такива като отваряне на сайта от мобилен телефон и отсъствие на бисквитки, сигнализиращи, че страницата е била отворена от администратора на сайта. При установяване на системи за уеб анализ на сайта, пренасочването се забавяше с няколко секунди, за да не бъде видимо в статистиката на такива системи.

Забележително е, че новият собственик премахва от GitHub всякакви оплаквания, посочващи подозрителна дейност или смяна на собствеността, и явно разчита на това, че потребителите ще счетат автоматичното пренасочване за инициатива на авторите на първоначално отворените сайтове.

На потребителите на Polyfill се препоръчва да премахнат кодовете за зареждане на библиотеката през хоста cdn.polyfill.io възможно най-скоро. Подчертава се, че в съвременните реалности нуждата от Polyfill вече не съществува, тъй като всички основни браузъри в достатъчна степен поддържат Web API (Polyfill динамично оценява текущия браузър по заглавката User Agent и генерира функции за остарелите браузъри с реализация на липсващите методи, свойства и API).

Тези, на които Polyfill все още е необходим, могат да се възползват от версиите на библиотеката, разпространявани от компаниите Fastly и Cloudflare, или могат да използват на своето сървър локално копие, базирано на кода от репозитория с форк, създаден от първоначалния автор на проекта. Зеркалите бяха създадени през февруари поради съмнения за надеждността на новия собственик домейн polyfill.io.

Източник: opennet.ru