Meer dan 110.000 websites die de open JavaScript-bibliotheek Polyfill gebruiken voor compatibiliteit met oude versies van browsers, werden het slachtoffer van kwaadaardige wijzigingen in de code van de bibliotheek door de nieuwe eigenaar van het project. In de bibliotheek, die op websites wordt geladen via het domein cdn.polyfill.io, was kwaadaardige code ingebouwd die gebruikers omleidde naar frauduleuze websites (zoals googie-anaiytics.com), bookmakers en online casino's.
Het Polyfill-project werd in februari verkocht aan het Chinese bedrijf Funnull, dat toegang kreeg tot het account op GitHub en de website polyfill.io. Enkele maanden na de overname organiseerde de nieuwe eigenaar een frauduleus monetisatie-schema waarbij een deel van de gebruikers naar dubieuze websites werd omgeleid. De omleiding vond plaats met een bepaalde waarschijnlijkheid, op specifieke tijden en bij het voldoen aan voorwaarden, zoals het openen van de site vanaf een mobiele telefoon en het ontbreken van cookies die signaleren dat de pagina door de site-administrator is geopend. Bij detectie van web-analyssystemen op de site, werd de redirect enkele seconden vertraagd om niet op te duiken in de statistieken van dergelijke systemen.
Het is opmerkelijk dat de nieuwe eigenaar alle klachten op GitHub verwijdert die wijzen op verdachte activiteiten of de verandering van eigenaar, en kennelijk rekent hij erop dat gebruikers de automatische overgangen beschouwen als een initiatief van de oorspronkelijke auteurs van de open websites.
Polyfill-gebruikers wordt aanbevolen om zo snel mogelijk de code voor het laden van de bibliotheek via de host cdn.polyfill.io te verwijderen. Het wordt opgemerkt dat in de moderne realiteit de behoefte aan Polyfill niet meer bestaat, aangezien alle belangrijke browsers de Web API adequaat ondersteunen (Polyfill evalueert dynamisch de huidige browser aan de hand van de User-Agent-header en genereert functies met implementaties van ontbrekende methoden, eigenschappen en API's voor verouderde browsers).
Diegenen voor wie Polyfill nog steeds nodig is, kunnen gebruikmaken van versies van de bibliotheek die worden verspreid door de bedrijven Fastly en Cloudflare, of kunnen een lokale kopie gebruiken op basis van de code uit de repository met een fork die door de oorspronkelijke auteur van het project is gemaakt. de server Spiegels werden in februari gemaakt vanwege twijfels over de betrouwbaarheid van de nieuwe eigenaar. domein polyfill.io.
Bron: opennet.ru
