Oltre 110.000 siti web che utilizzano la libreria JavaScript open source Polyfill per garantire compatibilità con le versioni più vecchie dei browser sono stati vittime di modifiche malevolente apportate al codice della libreria dal nuovo proprietario del progetto. Un codice malevolo è stato incorporato nella libreria, scaricata sui siti tramite il dominio cdn.polyfill.io, che reindirizza l'utente verso siti truffaldini (come googie-anaiytics.com), scommesse online e casinò.
Il progetto Polyfill è stato venduto a febbraio alla società Funnull in Cina, che ha ottenuto accesso all'account GitHub e al sito polyfill.io. Alcuni mesi dopo l'acquisto, il nuovo proprietario ha organizzato uno schema di monetizzazione fraudolento, collegato al reindirizzamento di parte degli utenti verso siti dubbi. Il reindirizzamento avveniva con una certa probabilità, in orari specifici e al verificarsi di condizioni come l'accesso al sito da un telefono mobile e l'assenza di cookie che indicano che la pagina fosse stata aperta da un amministratore del sito. In caso di rilevamento di strumenti di web analytics, il reindirizzamento veniva ritardato di alcuni secondi per non emergere nelle statistiche di tali sistemi.
È interessante notare che il nuovo proprietario rimuove da GitHub qualsiasi segnalazione che indichi attività sospette o cambio di proprietà, e sembra contare sul fatto che gli utenti considerino il reindirizzamento automatico come un'iniziativa degli autori dei siti inizialmente aperti.
Si consiglia agli utenti di Polyfill di rimuovere il codice per caricare la libreria tramite l'host cdn.polyfill.io il prima possibile. Si osserva che nelle attuali realtà non vi è più bisogno di Polyfill, poiché tutti i principali browser supportano adeguatamente le API Web (Polyfill valuta dinamicamente il browser attuale in base all'intestazione User Agent e genera funzioni con l'implementazione dei metodi, delle proprietà e delle API mancanti per i browser obsoleti).
Coloro che hanno ancora bisogno di Polyfill possono utilizzare le varianti della libreria fornite da aziende come Fastly e Cloudflare, oppure possono utilizzare una server copia locale basata sul codice del repository con un fork creato dall'autore originale del progetto. I mirror sono stati creati a febbraio a causa di dubbi sulla affidabilità del nuovo proprietario di dominio polyfill.io.
Fonte: opennet.ru
