Mais de 110 mil sites que utilizam a biblioteca JavaScript de código aberto Polyfill para garantir compatibilidade com versões mais antigas de navegadores foram vítimas de alterações maliciosas introduzidas no código da biblioteca pelo novo proprietário do projeto. Um código malicioso foi integrado à biblioteca, carregada em sites através do domínio cdn.polyfill.io, redirecionando usuários para sites fraudulentos (como googie-anaiytics.com), casas de apostas e cassinos online.
O projeto Polyfill foi vendido em fevereiro para a empresa Funnull da China, que obteve acesso à conta no GitHub e ao site polyfill.io. Alguns meses após a aquisição, o novo proprietário organizou um esquema de monetização fraudulenta que redirecionava parte dos usuários para sites duvidosos. O redirecionamento ocorria com certa probabilidade, em horários específicos e sob condições, como abrir o site a partir de um celular e a ausência de cookies que sinalizassem que a página foi aberta por um administrador do site. Quando sistemas de web analytics eram detectados no site, o redirecionamento era adiado por alguns segundos para não aparecer nas estatísticas desses sistemas.
É notável que o novo proprietário apaga do GitHub quaisquer reclamações indicando atividades suspeitas ou mudança de proprietário, aparentemente esperando que os usuários considerem a transição automática uma iniciativa dos autores dos sites originalmente abertos.
Os usuários do Polyfill são aconselhados a remover o código para carregar a biblioteca através do host cdn.polyfill.io o mais rápido possível. Observa-se que, nas condições atuais, a necessidade do Polyfill não existe mais, já que todos os principais navegadores suportam adequadamente a Web API (o Polyfill avalia dinamicamente o navegador atual pelo cabeçalho User Agent e gera funções com implementações de métodos, propriedades e APIs ausentes para navegadores obsoletos).
Aqueles que ainda precisam do Polyfill podem utilizar versões da biblioteca disponibilizadas pelas empresas Fastly e Cloudflare, ou podem usar uma servidor cópia local baseada no código de um repositório com um fork criado pelo autor original do projeto. Espelhos foram criados em fevereiro devido a dúvidas sobre a confiabilidade do novo proprietário de domínio polyfill.io.
Fonte: opennet.ru
