Kort samengevat: verborgen risicoanalyse Polyfill
- Erger dan een redirect: Iedereen haalde zijn schouders op omdat de zichtbare payload een omleiding naar gok- en volwassenensites was, maar Polyfill serveerde code per verzoek, dus een formjacking- of credential-theft-variant gericht op specifieke bezoekers zou nooit in een publieke scan verschijnen.
- Een sluimerende verkoop: Het domein werd verkocht voor een levensveranderende som geld, ongeveer zes weken voordat de omleidingen begonnen, en cside monitort wat scripts daadwerkelijk laden en doen in de browser, in plaats van te vertrouwen op een eenmalige broncontrole of reputatiecheck.
- Eenmalig vertrouwen bewapent: Als je vendor-review een eenmalige goedkeuring is, wordt het verleende vertrouwen een permanente uitvoeringssleutel, dus monitor het runtimegedrag bij elke sessie of accepteer dat de volgende domeinverkoop het script van de ene op de andere dag kan bewapenen.
Weinig tijd? Bekijk cside's in-browser Magecart- en skimmerblokkering. Dit dekt alles hieronder in één deployment.
Toen wij en nieuwsmedia de Polyfill-aanval rapporteerden, waren de reacties verrassend mild. Dit had mogelijk te maken met het zichtbare resultaat: een eenvoudige omleiding naar obscure websites. (Voor de volledige chronologie, zie onze complete Polyfill.io-tijdlijn.)
Maar zoals we in onze post-mortem beschreven, zijn de potentiële gevolgen veel ernstiger:
"Hier koos de kwaadwillende ervoor om gebruikers alleen door te sturen naar sites voor volwassenen en gokken, maar er had veel erger kunnen gebeuren. Toetsaanslagen afluisteren bij een klein percentage van sessies op basis van geolocatie en tijdstip, malware injecteren, cryptocurrency minen, of knoppen op sites herschrijven zodat ze doorverwijzen naar nagebootste betaalportalen.
Van een simpele omleiding tot het onderscheppen van creditcardgegevens: client-side JavaScript-aanvallen kunnen het allemaal. De Polyfill-aanval had veel meer schade kunnen aanrichten; in zekere zin hadden we geluk. Laat dit een herinnering zijn: we moeten onze client-side scripts monitoren."
Feit is dat er hoogstwaarschijnlijk veel meer is gebeurd.
Nieuw inzicht in de domeinoverdracht
Het domein waarop het script werd gehost, werd verkocht aan een door Chinezen geleid bedrijf genaamd Funnull. Ongeveer zes weken later begonnen de omleidingen, en werd het incident herkend als een aanval. Beveiligingsbedrijf Sansec publiceerde zijn forensische analyse van de omleidingspayload. (De bijbehorende CVE-2024-38526 werd toegewezen aan pdoc, de Python-documentatietool die polyfill.io laadde, niet aan het incident als geheel.)
Onlangs onthulde een anonieme bron dat het domein polyfill[.]io — het middelpunt van de aanval — was verkocht voor een "levensveranderende som geld."
Het Polyfill-script was oorspronkelijk gemaakt door Andrew Betts en Jake Champion. Andrew Betts plaatste een (inmiddels verwijderde) tweet waarin hij de verkoop erkende en toegaf er geen invloed op te hebben gehad.
Een andere X-gebruiker, John Schulz, ontdekte een inmiddels verwijderde aankondiging van Funnull waarin Jake Champion werd genoemd als de persoon die het domein aan hen had overgedragen:
Took me a bit to find it, but here's the announcement pic.twitter.com/9sdSboOu7l
— John Schulz (@JFSIII) February 24, 2024
Een inmiddels verwijderde tweet van Jake Champion bevestigt dat hij het domein persoonlijk aan Funnull heeft overgedragen.
Mogelijke doemscenario's
De aanval kwam aan het licht doordat gebruikers werden doorgestuurd naar sites voor volwassenen en gokken. Maar als het domein voor een "levensveranderende som" werd verkocht, lijkt het onwaarschijnlijk dat het uitsluitend werd ingezet voor zo'n eenvoudige exploit.
Wekenlang trof deze aanval een half miljoen websites, waaronder Intuit, The Guardian, Hulu en The Verge.
Hieronder volgen enkele potentiële doemscenario's die hadden kunnen worden uitgevoerd door controle te krijgen over één enkel JavaScript-bestand van een derde partij.
DDoS-aanval
Aanvallers kunnen IP-adressen van bezoekers van een half miljoen websites verzamelen en hun apparaten inzetten om verzoeken naar een willekeurig doelwit te sturen, waarmee een van de grootste DDoS-aanvallen ooit wordt gecreëerd. Dit kan grote instellingen, zowel privaat als overheidsinstanties, urenlang platleggen.
Workday-aanval
Aanvallers kunnen medewerkers ertoe verleiden hun Workday-inloggegevens te delen, waardoor ongeautoriseerde toegang tot backendsystemen wordt verkregen, of gewoon hun sessietoken stelen. Dit kan leiden tot:
- Manipulatie van salarisadministratie
- Diefstal van personeelsgegevens
- Toegang tot gevoelige HR-data
- … en meer
Willekeurige inhoud op een webpagina herschrijven
Op geïnfecteerde nieuwssites kunnen aanvallers inhoud herschrijven om:
- Reacties of paniek uit te lokken
- De publieke opinie te manipuleren
- Narratieven rond controversiële onderwerpen te veranderen
- … en meer
Onderscheppen van persoonsgegevens en creditcardgegevens
Client-side aanvallen richten zich vaak op het verzamelen van persoonlijk identificeerbare informatie (PII) en betaalgegevens. Met meer dan een half miljoen getroffen websites, waaronder veel met afrekenformulieren, kunnen aanvallers op grote schaal betaalgegevens stelen.
Andere websites infecteren
Een geïnfecteerde site kan kwaadaardige scripts hosten, waardoor de aanval zich verder kan verspreiden. Deze tactiek bemoeilijkt detectie en inperking. Deze techniek wordt vaak gebruikt bij client-side inbreuken, zoals te zien bij Schrwaa[.].com (veilige link naar een artikel).
Crypto minen in de browser
Cryptojacking — het dwingen van browsers van gebruikers om cryptocurrency te minen — is een goed gedocumenteerde tactiek. Als dit wordt uitgevoerd op een half miljoen drukbezochte websites, kunnen aanvallers enorm profiteren van miljoenen dagelijkse bezoekers. Lees meer over de BrowseAloud- en de Copay event-stream-aanvallen voor recente voorbeelden.
Een en-scenario
Deze scenario's staan niet op zichzelf: ze kunnen gelijktijdig plaatsvinden. De omleidingen hebben al plaatsgevonden, maar de andere scenario's kunnen tegelijkertijd actief zijn geweest.
Zonder client-side monitoring is het onmogelijk dit te weten.
Om precies te zijn over het bewijs: de enige payload die onderzoekers vastlegden en decodeerden, was de omleiding. Een onafhankelijke deobfuscatie door SecureLayer7 vond geen vastgelegd bewijs van het oogsten van inloggegevens, keystroke logging of het lekken van persoonsgegevens, en Sansecs forensische onthulling documenteerde hetzelfde gedrag dat zich tot alleen omleiding beperkte. De bovenstaande scenario's zijn daarom mogelijkheden, geen bevestigde gebeurtenissen, maar omdat het script voor elk verzoek opnieuw werd opgebouwd, zou een gerichte variant op gegevensdiefstal nooit in een publieke scan verschijnen. Omleiding: bewezen. Stille, gerichte diefstal: aannemelijk door het ontwerp, nooit vastgelegd.
Deze onzekerheid is de reden waarom we cside zijn gestart. Hoewel we niet elke aanval wereldwijd kunnen zien, monitoren we scripts van derden op uw site om aanvallen zoals deze te detecteren en te voorkomen dat ze uw gebruikers schaden.
Laten we hopen dat de omleiding het ergste was. Maar het feit dat er veel erger had kunnen gebeuren, is reden genoeg om actie te ondernemen. In 2025 sanctioneerde OFAC Funnull vanwege de bredere operatie achter dit domein — een herinnering dat de mensen die het runden geen hobbyisten waren. Bescherm uw site binnen enkele seconden, gratis, door u vandaag nog aan te melden.
