Több mint 110 ezer webhely, amelyek a nyílt JavaScript könyvtár, a Polyfill használatával biztosítják a kompatibilitást a régebbi böngésző verziókkal, áldozatul estek a könyvtár kódjába a projekt új tulajdonosa által beépített rosszindulatú módosításoknak. A könyvtár a cdn.polyfill.io domainen keresztül lett betöltve a webhelyekre, amelybe rosszindulatú kód került, átirányítva a felhasználókat csaló weboldalakra (például googie-anaiytics.com), fogadóirodákra és online kaszinókra.
A Polyfill projektet februárban eladták a Funnull kínai cégnek, amely hozzáférést kapott a GitHub fiókhoz és a polyfill.io weboldalhoz. Néhány hónappal a vásárlás után az új tulajdonos csalási monetizálási sémát szervezett, amely a felhasználók egy részének kétes webhelyekre történő átirányításához kapcsolódott. Az átirányítás bizonyos valószínűséggel, meghatározott órákban és bizonyos feltételek mellett történt, mint például a weboldal megnyitása mobiltelefonról és a süti hiánya, amely jelezte, hogy az oldalt az adminisztrátor nyitotta meg. Ha webanalitikai rendszereket észleltek a webhelyen, az átirányítást néhány másodpercre késleltették, hogy ne kerüljön előtérbe ezeknek a rendszereknek a statisztikáiban.
Különös figyelmet érdemel, hogy az új tulajdonos törli a GitHubról az összes panaszt, amely a gyanús tevékenységekre vagy a tulajdonosváltásra mutat, és láthatóan arra számít, hogy a felhasználók az automatikus átirányítást az eredetileg nyílt weboldalak szerzőinek kezdeményezésének tekintik.
A Polyfill felhasználóknak javasolt mielőbb eltávolítani a könyvtár cdn.polyfill.io-n keresztüli betöltésére szolgáló kódot. Megjegyzendő, hogy a mai körülmények között a Polyfill iránti igény már nem áll fenn, mivel a legfontosabb böngészők megfelelően támogatják a Web API-t (a Polyfill dinamikusan értékeli a jelenlegi böngészőt a User Agent fejléc alapján, és elavult böngészők számára generál funkciókat a hiányzó metódusok, tulajdonságok és API-k megvalósításával).
Akiknek a Polyfill még mindig szükséges, használhatják a Fastly és Cloudflare által terjesztett könyvtár alternatíváit, vagy saját szerveren helyi példányt készíthetnek az eredeti projekt szerzője által létrehozott fork kódjából. A tükörverziókat februárban hozták létre az új tulajdonos megbízhatóságával kapcsolatos kétségek miatt. domain polyfill.io.
Forrás: opennet.ru
