Resumen: análisis del riesgo oculto de Polyfill
- Peor que un redirect: Todo el mundo se encogió de hombros porque el payload visible era una redirección a apuestas y sitios para adultos, pero Polyfill servía código por petición, así que una variante de formjacking o robo de credenciales dirigida a visitantes concretos nunca aparecería en un escaneo público.
- Una venta durmiente: El dominio se vendió por una suma que cambia la vida unas seis semanas antes de que empezaran los redireccionamientos, y cside supervisa lo que los scripts realmente cargan y hacen en el navegador en vez de fiarse de una revisión única de fuente o de una comprobación de reputación.
- La confianza única lo arma: Si tu revisión de proveedor es una firma única, la confianza otorgada se vuelve una llave de ejecución permanente, así que supervisa el comportamiento en tiempo de ejecución en cada sesión o asume que la próxima venta de dominio puede armar el script de la noche a la mañana.
¿Poco tiempo? Consulta el bloqueo de Magecart y skimmers en el navegador de cside. Cubre todo lo de abajo en un solo despliegue.
Cuando nosotros y otros medios informamos sobre el ataque de Polyfill, las reacciones fueron sorprendentemente moderadas. Esto pudo deberse al resultado visible: una simple redirección a sitios web oscuros. (Para la cronología completa, consulta nuestra cronología completa de Polyfill.io.)
Pero, como señalamos en nuestro análisis post-mortem, las consecuencias potenciales son mucho más graves:
"Aquí el actor malicioso optó por redirigir a los usuarios únicamente a sitios web de apuestas y contenido adulto; sin embargo, podría haber ocurrido algo mucho peor. Escuchar las pulsaciones de teclas en un pequeño porcentaje de sesiones según la geolocalización y la hora del día, inyectar malware, minar criptomonedas o reescribir botones en sitios para redirigir a portales de pago suplantados.
Desde una simple redirección hasta la captura de datos de tarjetas de crédito, los ataques de JavaScript del lado del cliente pueden hacerlo todo. El ataque de Polyfill podría haber tenido un impacto negativo mucho mayor; en cierto modo, tuvimos suerte. Que esto sirva de recordatorio: debemos monitorear nuestros scripts del lado del cliente."
Lo cierto es que probablemente ocurrió mucho más.
Nueva información sobre la transferencia del dominio
El dominio que alojaba el script fue vendido a una empresa operada desde China llamada Funnull. Aproximadamente seis semanas después, comenzaron las redirecciones y el incidente fue reconocido como un ataque. La empresa de seguridad Sansec publicó su análisis forense del payload de redirección. (El CVE-2024-38526 relacionado se asignó a pdoc, la herramienta de documentación de Python que cargaba polyfill.io, no al incidente en su conjunto.)
Recientemente, una fuente no revelada reveló que el dominio polyfill[.]io -en el centro del ataque- fue vendido por una "suma de dinero que cambió una vida".
El script de Polyfill fue creado originalmente por Andrew Betts y Jake Champion. Andrew Betts publicó un tuit (ahora eliminado) en el que reconocía la venta y admitía no haber tenido ninguna influencia sobre ella.
Otro usuario de X, John Schulz, descubrió un anuncio (ahora eliminado) de Funnull en el que se nombraba a Jake Champion como la persona que les transfirió el dominio:
Took me a bit to find it, but here's the announcement pic.twitter.com/9sdSboOu7l
— John Schulz (@JFSIII) February 24, 2024
Un tuit ahora eliminado de Jake Champion confirma que él personalmente transfirió el dominio a Funnull.
Posibles escenarios catastróficos
El ataque fue descubierto porque los usuarios eran redirigidos a sitios de apuestas y contenido adulto. Sin embargo, si el dominio fue vendido por una "suma que cambió una vida", parece poco probable que se haya utilizado únicamente para un exploit tan básico.
Durante semanas, este ataque afectó a medio millón de sitios web, entre ellos Intuit, The Guardian, Hulu y The Verge.
A continuación se presentan algunos posibles escenarios catastróficos que podrían haberse ejecutado tomando el control de un único archivo JavaScript de terceros.
Ataque DDoS
Los atacantes pueden recopilar direcciones IP de visitantes de medio millón de sitios web y aprovechar sus máquinas para enviar solicitudes a cualquier objetivo, creando uno de los mayores ataques DDoS de la historia. Esto puede interrumpir el funcionamiento de grandes instituciones, tanto privadas como gubernamentales, durante horas.
Ataque a Workday
Los atacantes pueden engañar a los empleados para que compartan sus credenciales de Workday, obteniendo acceso no autorizado a sistemas internos o simplemente exfiltrando su token de sesión. Esto puede resultar en:
- Manipulación de nóminas
- Robo de registros de empleados
- Acceso a datos sensibles de recursos humanos
- … y más
Reescribir cualquier contenido de una página web
En sitios de noticias infectados, los atacantes pueden reescribir contenido para:
- Provocar reacciones o pánico
- Manipular la opinión pública
- Cambiar narrativas sobre temas controvertidos
- … y más
Captura de datos personales y detalles de tarjetas de crédito
Los ataques del lado del cliente suelen recopilar Información de Identificación Personal (PII) y datos de pago. Con más de medio millón de sitios web afectados, incluidos muchos con formularios de pago, los atacantes pueden robar datos de pago de forma masiva.
Infectar otros sitios web
Un sitio infectado puede alojar scripts maliciosos, permitiendo que el ataque se propague. Esta táctica complica los esfuerzos de detección y contención. Esta técnica se utiliza habitualmente en brechas del lado del cliente, como se vio en Schrwaa[.].com (enlace seguro a un artículo).
Minería de criptomonedas en el navegador
El cryptojacking -forzar los navegadores de los usuarios a minar criptomonedas- es una táctica bien documentada. Si se ejecuta en medio millón de sitios web de alto tráfico, los atacantes pueden obtener enormes beneficios gracias a millones de visitantes diarios. Consulta los ataques de BrowseAloud y de Copay event-stream para ver ejemplos recientes.
Un escenario combinado
Estos escenarios no son aislados: pueden ocurrir simultáneamente. Las redirecciones ya sucedieron, pero los demás escenarios también pueden haber estado activos al mismo tiempo.
Sin monitorización del lado del cliente, es imposible saberlo.
Para ser precisos sobre la evidencia: el único payload que los investigadores capturaron y decodificaron fue la redirección. Una desofuscación independiente de SecureLayer7 no encontró pruebas capturadas de robo de credenciales, registro de pulsaciones de teclas ni exfiltración de PII, y la divulgación forense de Sansec documentó ese mismo comportamiento limitado a la redirección. Por lo tanto, los escenarios anteriores son capacidad, no eventos confirmados, pero como el script se reconstruía en cada petición, una variante de robo de datos dirigida nunca aparecería en un escaneo público. Redirección: probada. Robo silencioso y dirigido: plausible por diseño, nunca capturado.
Esta incertidumbre es la razón por la que creamos cside. Aunque no podemos ver todos los ataques a nivel global, monitorizamos los scripts de terceros en tu sitio para detectar y prevenir ataques como este antes de que perjudiquen a tus usuarios.
Esperemos que la redirección haya sido lo peor de todo. Pero el hecho de que algo mucho peor podría haber ocurrido es razón suficiente para actuar. En 2025, la OFAC sancionó a Funnull por la operación más amplia detrás de este dominio, un recordatorio de que quienes lo gestionaban no eran aficionados. Protege tu sitio en segundos, de forma gratuita, registrándote hoy.
