Un ataque a la cadena de suministro ha afectado más de 100.000 sitios web, según informes recientes. El incidente se produjo tras la adquisición del dominio Polyfill[.]io por una empresa china llamada «Funnull», que modificó el script del servicio para redirigir a usuarios a sitios maliciosos y de estafa.
¿Qué es Polyfill?
Polyfill es un fragmento de código, generalmente en JavaScript, que añade funcionalidades modernas a navegadores antiguos que no las soportan. Este servicio se utiliza por cientos de miles de sitios web para garantizar compatibilidad entre diferentes navegadores.
El ataque y su impacto
Sansec, una empresa de ciberseguridad, advirtió sobre la adquisición del dominio y el servicio Polyfill por «Funnull», lo cual permitió la introducción de código malicioso en los sitios web. El ataque se produjo a principios de este año, cuando el dominio fue comprado y modificado.
El desarrollador original del proyecto Polyfill advirtió que nunca había sido propietario del sitio poyfill[.]io, recomendando eliminarlo para reducir riesgos. En respuesta, Cloudflare y Fastly establecieron espejos confiables del servicio.
Respuestas de la comunidad y alternativas
Leak Signal creó un sitio web llamado Polykill.io, que permite buscar sitios usando cdn.polyfill[.]io y ofrece información sobre cómo cambiar a alternativas.
Redirecciones maliciosas y protección contra ingeniería inversa
Sansec observó que el script modificado redirigía principalmente a sitios de estafa, como un falso sitio de apuestas deportivas. Los investigadores encontraron difícil analizar completamente el script debido a su especificidad y resistencia a la ingeniería inversa.
El código tiene una protección específica contra la ingeniería inversa y solo se activa en dispositivos móviles específicos a horas específicas. No se activa cuando detecta un usuario administrador o encuentra un servicio de análisis web.
Alertas de Google y otros servicios afectados
Google notificó a los anunciantes sobre el ataque, advirtiéndoles que sus páginas incluían código malicioso y podrían redirigir a visitantes sin su conocimiento. Otros servicios como Bootcss, Bootcdn y Staticfile también han sido encontrados causando redireccionamientos no deseados.
Investigación y atribución del ataque
Investigadores de seguridad descubrieron un repositorio de GitHub asociado con el dominio Polyfill.io, que se cree que afectó a decenas de millones de sitios web. El ataque fue atribuido a una sola entidad, según el esfuerzo colaborativo entre investigadores y grupos de seguridad.
Indicadores de compromiso (IoCs)
- Listado de sitios que utiliza(ban) Polyfill
- https://kuurza[.]com/redirect?from=bitget
- https://www.googie-anaiytics[.]com/html/checkcachehw.js
- https://www.googie-anaiytics[.]com/ga.js
- bootcss[.]com
- staticfile[.]net
- staticfile[.]org
- unionadjs[.]com
- xhsbpza[.]com
- union.macoms[.]la
- newcrbpc[.]com
- cdn.bootcdn[.]net
- cdn.bootcss[.]com
- cdn.staticfile[.]net
- cdn.staticfile[.]org
Actualización: El ataque tiene un alcance más amplio de lo pensado, con nuevos hallazgos que muestran que más de 380.000 hosts están incorporando un script de polyfill que se vincula al dominio malicioso a partir del 2 de julio de 2024.