Oltre 110.000 siti web che utilizzano la libreria JavaScript open source Polyfill per garantire la compatibilità con le versioni obsolete dei browser sono stati vittime di modifiche dannose apportate al codice della libreria dal nuovo proprietario del progetto. Un codice malevolo è stato incorporato nella libreria, caricata sui siti attraverso il dominio cdn.polyfill.io, che reindirizza gli utenti verso siti truffaldini (come googie-anaiytics.com), scommesse e casinò online.
Il progetto Polyfill è stato venduto a febbraio alla società Funnull della Cina, che ha ottenuto accesso all'account GitHub e al sito polyfill.io. Dopo alcuni mesi dall'acquisto, il nuovo proprietario ha organizzato uno schema fraudolento di monetizzazione legato al reindirizzamento di alcuni utenti su siti dubbiosi. Il reindirizzamento avveniva con una certa probabilità, in determinati orari e al verificarsi di condizioni, come l'apertura del sito da un dispositivo mobile e l'assenza di cookie che segnalassero che la pagina era stata aperta da un amministratore del sito. Quando veniva rilevato un sistema di web analytics sul sito, il reindirizzamento veniva ritardato di alcuni secondi per non apparire nelle statistiche di tali sistemi.
È interessante notare che il nuovo proprietario rimuove da GitHub qualsiasi reclamo che indichi attività sospette o cambi di proprietà, e sembra contare sul fatto che gli utenti considerino la transizione automatica come un'iniziativa degli autori dei siti originariamente aperti.
Si consiglia agli utenti di Polyfill di rimuovere il codice per il caricamento della libreria tramite l'host cdn.polyfill.io il prima possibile. Si sottolinea che, nelle attuali circostanze, non c'è più bisogno di Polyfill, poiché tutti i principali browser supportano adeguatamente le Web API (Polyfill valuta dinamicamente l'attuale browser tramite l'intestazione User Agent e per i browser obsoleti genera funzioni con implementazioni dei metodi, proprietà e API mancanti).
Coloro che necessitano ancora di Polyfill possono utilizzare le varianti della libreria distribuite dalle aziende Fastly e Cloudflare, oppure possono utilizzare una propria server copia locale basata sul codice presente nel repository con un fork creato dall'autore originale del progetto. Gli specchi sono stati creati a febbraio a causa di dubbi sulla correttezza del nuovo proprietario di dominio polyfill.io.
Fonte: opennet.ru
