Toen wij en nieuwsmedia de Polyfill-aanval rapporteerden, waren de reacties verrassend lauw. Dit had mogelijk te maken met het zichtbare resultaat: een eenvoudige omleiding naar obscure websites. (Voor de volledige chronologie, zie onze complete Polyfill.io-tijdlijn.)
Maar, zoals we in onze post-mortem beschreven, zijn de potentiële gevolgen veel ernstiger:
"Hier koos de kwaadwillende ervoor om gebruikers alleen door te sturen naar websites voor volwassenen en gokken, maar er had veel erger kunnen gebeuren. Toetsaanslagen afluisteren in een klein percentage van sessies op basis van geolocatie en tijdstip, het injecteren van malware, het minen van cryptocurrency of het herschrijven van knoppen op sites om door te verwijzen naar nep-betaalportalen.
Van een simpele omleiding tot het onderscheppen van creditcardgegevens: client-side JavaScript-aanvallen kunnen het allemaal. De Polyfill-aanval had veel meer schade kunnen aanrichten — in zekere zin hadden we geluk. Laat dit een herinnering zijn: we moeten onze client-side scripts in de gaten houden."
De realiteit is dat er hoogstwaarschijnlijk meer is gebeurd.
Nieuwe inzichten over de domeintransfer
Het domein waarop het script werd gehost, werd verkocht aan een door Chinezen geleid bedrijf genaamd Funnull. Ongeveer zes weken later begonnen de omleidingen, en het incident werd herkend als een aanval. Beveiligingsbedrijf Sansec publiceerde zijn forensische analyse van de omleidingspayload. (De gerelateerde CVE-2024-38526 werd toegewezen aan pdoc, de Python-documentatietool die polyfill.io laadde, niet aan het incident als geheel.)
Onlangs onthulde een anonieme bron dat het domein polyfill[.]io — het middelpunt van de aanval — was verkocht voor een "levensveranderende som geld."
Het Polyfill-script was oorspronkelijk gemaakt door Andrew Betts en Jake Champion. Andrew Betts plaatste een (inmiddels verwijderde) tweet waarin hij de verkoop erkende en toegaf er geen invloed op te hebben gehad.
Een andere X-gebruiker, John Schulz, ontdekte een inmiddels verwijderde aankondiging van Funnull waarin Jake Champion werd genoemd als de persoon die het domein aan hen had overgedragen:
Took me a bit to find it, but here's the announcement pic.twitter.com/9sdSboOu7l
— John Schulz (@JFSIII) February 24, 2024
Een inmiddels verwijderde tweet van Jake Champion bevestigt dat hij het domein persoonlijk aan Funnull heeft overgedragen.
Mogelijke doemscenario's
De aanval werd ontdekt doordat gebruikers werden doorgestuurd naar websites voor volwassenen en gokken. Maar als het domein werd verkocht voor een "levensveranderende som", lijkt het onwaarschijnlijk dat het uitsluitend werd ingezet voor zo'n basale aanval.
Wekenlang trof deze aanval een half miljoen websites, waaronder Intuit, The Guardian, Hulu en The Verge.
Hieronder volgen enkele potentiële doemscenario's die hadden kunnen worden uitgevoerd door controle te krijgen over één enkel JavaScript-bestand van een derde partij.
DDoS-aanval
Aanvallers kunnen IP-adressen van bezoekers van een half miljoen websites verzamelen en hun apparaten inzetten om verzoeken naar een willekeurig doelwit te sturen, waarmee een van de grootste DDoS-aanvallen ooit wordt gecreëerd. Dit kan grote instellingen, zowel privaat als overheidsinstanties, urenlang platleggen.
Workday-aanval
Aanvallers kunnen medewerkers verleiden hun Workday-inloggegevens te delen, waardoor ongeautoriseerde toegang tot backendsystemen wordt verkregen, of simpelweg hun sessietoken stelen. Dit kan leiden tot:
- Manipulatie van salarisadministratie
- Diefstal van personeelsgegevens
- Toegang tot gevoelige HR-data
- … en meer
Willekeurige inhoud op een webpagina herschrijven
Op geïnfecteerde nieuwssites kunnen aanvallers inhoud herschrijven om:
- Reacties of paniek uit te lokken
- De publieke opinie te manipuleren
- Narratieven rond controversiële onderwerpen te veranderen
- … en meer
Onderscheppen van persoonsgegevens en creditcardgegevens
Client-side aanvallen richten zich vaak op het verzamelen van persoonsgegevens (PII) en betaalgegevens. Met meer dan een half miljoen getroffen websites, waaronder veel met afrekenformulieren, kunnen aanvallers op grote schaal betaalgegevens stelen.
Andere websites infecteren
Een geïnfecteerde site kan kwaadaardige scripts hosten, waardoor de aanval zich verder verspreidt. Deze tactiek bemoeilijkt detectie en inperking. Deze techniek wordt vaak gebruikt bij client-side inbreuken, zoals te zien bij Schrwaa[.].com (veilige link naar een artikel).
Crypto minen in de browser
Cryptojacking — het dwingen van browsers van gebruikers om cryptocurrency te minen — is een goed gedocumenteerde tactiek. Als dit wordt uitgevoerd op een half miljoen drukbezochte websites, kunnen aanvallers enorm profiteren van miljoenen dagelijkse bezoekers. Lees meer over de BrowseAloud- en de Copay event-stream-aanvallen voor recente voorbeelden.
Een en-scenario
Het is belangrijk te benadrukken dat deze scenario's niet op zichzelf staan — ze kunnen gelijktijdig plaatsvinden. De omleidingen hebben al plaatsgevonden, maar de andere scenario's kunnen tegelijkertijd actief zijn geweest.
Zonder client-side monitoring is het onmogelijk dit te weten.
Om precies te zijn over het bewijs: de enige payload die onderzoekers vastlegden en decodeerden, was de omleiding. Een onafhankelijke deobfuscatie door SecureLayer7 vond geen vastgelegd bewijs van het oogsten van inloggegevens, keystroke logging of het lekken van persoonsgegevens, en Sansecs forensische onthulling documenteerde hetzelfde gedrag dat zich tot omleiding beperkte. De bovenstaande scenario's zijn daarom capaciteit, geen bevestigde gebeurtenissen — maar omdat het script voor elk verzoek opnieuw werd opgebouwd, zou een gerichte variant op gegevensdiefstal nooit in een publieke scan verschijnen. Omleiding: bewezen. Stille, gerichte diefstal: aannemelijk door het ontwerp, nooit vastgelegd.
Deze onzekerheid is de reden waarom we cside zijn gestart. Hoewel we niet elke aanval wereldwijd kunnen zien, monitoren we scripts van derden op uw site om aanvallen zoals deze te detecteren en te voorkomen dat ze uw gebruikers schaden.
Laten we hopen dat de omleiding het ergste was. Maar het feit dat er veel erger had kunnen gebeuren, is reden genoeg om actie te ondernemen. In 2025 sanctioneerde OFAC Funnull voor de bredere operatie achter dit domein, een herinnering dat de mensen die het runden geen hobbyisten waren. Bescherm uw site binnen enkele seconden, gratis, door u vandaag nog aan te melden.
