Proto: N260624
CERT-Yoroi informa che è stato reso noto un supply chain attack causato dal servizio PolyFill.
La libreria è utilizzata dai developer per includere frammenti di codice JavaScript, noti come “polyfill”, che aggiungono funzionalità ai browser legacy oltre che essere già integrati nelle versioni web più recenti. Questi in-fill semplificano il lavoro degli sviluppatori, garantendo che il loro codice web funzioni su una gamma più ampia di browser. L'utilizzo di questa libreria è ampio e copre diverse macrocategorie di settori, ad esempio la biblioteca accademica JSTOR, Intuit, il World Economic Forum e oltre 100K siti incorporano Pollyfill utilizzando il dominio cdn[.]polyfill[.]io.
Nel febbraio 2024, tuttavia, il dominio e l'account GitHub associato sono stati acquisiti dalla società cinese di content delivery network (CDN) “Funnull”. L'acquisizione del dominio ha comportato la configurazione del record CNAME, reindirizzando il dominio di secondo livello Polyfill[.]io a polyfill.io[.]bsclink[.]cn, facilitando così la distribuzione di codice malevolo da parte della CDN mediante redirect a un dominio fraudolento di Google Analytics e ad altri siti web fake, come evidenziato nel rapporto di Sansec.
Google avverte, inoltre, che anche servizi di Content Delivery Network (CDN) che forniscono hosting per librerie front-end come Bootcss, Bootcdn e Staticfile sono stati individuati come cause di redirect indesiderati, aggiungendo potenzialmente migliaia di siti colpiti dal supply chain attacks. Tali scoperte sono emerse dopo che Andrew Betts, sviluppatore del progetto Polyfill, ha avvertito gli amministratori dei siti web di rimuovere polyfill[.]io in seguito alla vendita del dominio, del quale non è mai stato proprietario. Ciò ha spinto Fastly e Cloudflare a creare mirror del servizio per garantire la sicurezza. Pertanto, si raccomanda l'eliminazione della libreria Polyfill in caso di utilizzo.
Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro “cyber”. Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi cyber security Index
Riferimenti Esterni:
IOC:
- hxxxs://kuurza[.]com/redirect?from=bitget
- hxxxs://www[.]googie-anaiytics[.]com/html/checkcachehw[.]js
- hxxxs://www[.]googie-anaiytics[.]com/ga[.]js