Více než 110 tisíc webů, které využívaly otevřenou JavaScriptovou knihovnu Polyfill pro zajištění kompatibility se staršími verzemi prohlížečů, se staly obětí škodlivých změn provedených v kódu knihovny novým vlastníkem projektu. Do knihovny, načítané na weby prostřednictvím domény cdn.polyfill.io, byl vložen škodlivý kód, který přesměrovával uživatele na podvodné stránky (například googie-anaiytics.com), sázkové kanceláře a online kasina.
Projekt Polyfill byl v únoru prodán společnosti Funnull z Číny, která získala přístup k účtu na GitHubu a webu polyfill.io. Pár měsíců po akvizici nový vlastník zorganizoval podvodný monetizační schéma, které spočívalo v přesměrování části uživatelů na pochybná místa. Přesměrování se aktivovalo s určitou pravděpodobností, v určité hodiny a za splnění podmínek, jako je otevření webu z mobilního telefonu a absence cookie, která signalizují, že stránku otevřel administrátor webu. Při zjištění webových analytických systémů se přesměrování zpožďovalo na několik sekund, aby se neobjevilo ve statistikách těchto systémů.
Je pozoruhodné, že nový vlastník maže z GitHubu jakékoli stížnosti, které ukazují na podezřelou aktivitu nebo změnu vlastníka, a zřejmě doufá, že uživatelé si automatické přesměrování vyloží jako iniciativu autorů původně otevřených webů.
Uživatelům Polyfill se doporučuje co nejdříve odstranit kód pro načítání knihovny přes hostitele cdn.polyfill.io. Je zdůrazněno, že v moderních podmínkách není potřeba Polyfill, protože všechny hlavní prohlížeče dostatečně podporují Web API (Polyfill dynamicky vyhodnocuje aktuální prohlížeč podle hlavičky User Agent a pro zastaralé prohlížeče generuje funkce s implementací chybějících metod, vlastností a API).
Ti, kteří Polyfill stále potřebují, mohou využít varianty knihovny distribuované firmami Fastly a Cloudflare, nebo mohou použít na svém serveru lokálním kopii založenou na kódu z repozitáře s forks vytvořenými původním autorem projektu. Zrcadla byla vytvořena v únoru kvůli pochybnostem o spolehlivosti nového vlastníka domény polyfill.io.
Zdroj: opennet.ru
