Un ataque a la cadena de suministro ha afectado a más de 100.000 sitios web, según informes recientes. El incidente se produjo tras la adquisición del dominio y el servicio Polyfill.io por una empresa china llamada Funnull.
Adquisición y modificación del servicio
Funnull modificó el script del servicio para redirigir a los usuarios a sitios maliciosos y de estafa. Polyfill es un fragmento de código en JavaScript que añade funcionalidades modernas a navegadores antiguos. Polyfill.io es utilizado por cientos de miles de sitios web para garantizar compatibilidad entre distintos navegadores.
Impacto del ataque
El servicio fue adquirido a principios de este año por Funnull, lo que permitió la introducción de código malicioso en los sitios web. Sansec informó que el dominio y el servicio de Polyfill.io fueron adquiridos por Funnull.
Desde entonces, el dominio ha estado inyectando malware en dispositivos móviles a través de cualquier sitio que incruste cdn.polyfill.io. Los desarrolladores que incrustaron los scripts cdn.polyfill.io en sus sitios web obtenían el código directamente del sitio de la empresa china, lo cual inyectaba código malicioso redirigiendo a los visitantes a sitios no deseados.
Redirecciones y fraudes
Sansec observó que el script modificado redirigía principalmente a sitios de estafa, como un falso sitio de apuestas deportivas. También se utilizaban dominios falsos de Google Analytics, como www.googie-anaiytics[.]com, o redireccionamientos como kuurza[.]com/redirect?from=bitget.
Resistencia al análisis
Los investigadores han encontrado difícil analizar completamente el script modificado debido a su especificidad y resistencia a la ingeniería inversa. Sansec explicó que el código tiene una protección específica contra la ingeniería inversa, solo se activa en dispositivos móviles específicos a horas específicas, y no se activa cuando detecta un usuario administrador.
Respuestas de terceros
Cloudflare y Fastly establecieron sus propios espejos del servicio. El servicio Polyfill.io fue redirigido a polyfill.io.bsclink.cn, mantenido por los nuevos propietarios.
Riesgos identificados
- Inyección de malware en dispositivos móviles.
- Redirecciones a sitios maliciosos y de estafa.
- Uso de dominios falsos de Google Analytics.
- Dificultad para analizar el script modificado debido a su resistencia a la ingeniería inversa.
- Posible desaprobación de anuncios por parte de Google.
Mitigaciones recomendadas
- Eliminar el uso del servicio Polyfill.io.
- Establecer espejos del servicio por parte de Cloudflare y Fastly.
- Notificar a los anunciantes sobre el ataque a la cadena de suministro.
- Evitar incrustar scripts cdn.polyfill.io en sitios web.
Google ha comenzado a notificar a los anunciantes sobre este ataque a la cadena de suministro, advirtiéndoles que sus páginas de destino incluyen el código malicioso. Google también advierte que desaprobará los anuncios relacionados si encuentran estos redireccionamientos durante las comprobaciones regulares de los destinos de los anuncios.
Bootcss, Bootcdn y Staticfile han sido encontrados causando redireccionamientos no deseados.