Quando nós e outros veículos de notícias reportamos o ataque ao Polyfill, as reações foram surpreendentemente brandas. Isso pode ter ocorrido por conta do resultado visível: um simples redirecionamento para sites obscuros. (Para a cronologia completa, veja nossa linha do tempo completa do Polyfill.io.)
Mas, como detalhamos em nosso post-mortem, as consequências potenciais são muito mais graves:
"Aqui o agente malicioso optou por apenas redirecionar usuários para sites adultos e de apostas, porém algo muito pior poderia ter acontecido. Monitorar teclas digitadas em uma pequena porcentagem de sessões com base em geolocalização e hora do dia, injetar malware, minerar criptomoedas ou reescrever botões em sites para redirecionar a portais de pagamento falsos.
De um simples redirecionamento ao roubo de dados de cartão de crédito, ataques a JavaScript no lado do cliente podem fazer tudo isso. O ataque ao Polyfill poderia ter causado um impacto muito mais negativo — de certa forma, tivemos sorte. Que isso sirva de lembrete: precisamos monitorar nossos scripts no lado do cliente."
O fato é que muito mais provavelmente aconteceu.
Nova perspectiva sobre a transferência do domínio
O domínio que hospedava o script foi vendido para uma empresa de operação chinesa chamada Funnull. Aproximadamente seis semanas depois, os redirecionamentos começaram e o incidente foi reconhecido como um ataque. A empresa de segurança Sansec publicou sua análise forense do payload de redirecionamento. (O CVE-2024-38526 relacionado foi atribuído ao pdoc, a ferramenta de documentação Python que carregava o polyfill.io, e não ao incidente como um todo.)
Recentemente, uma fonte não identificada revelou que o domínio polyfill[.]io — no centro do ataque — foi vendido por uma "quantia que mudou a vida" de alguém.
O script Polyfill foi originalmente criado por Andrew Betts e Jake Champion. Andrew Betts publicou um tweet (posteriormente deletado) reconhecendo a venda e admitindo que não teve nenhuma influência sobre ela.
Outro usuário do X, John Schulz, descobriu um anúncio removido da Funnull que nomeava Jake Champion como o indivíduo que transferiu o domínio para eles:
Took me a bit to find it, but here's the announcement pic.twitter.com/9sdSboOu7l
— John Schulz (@JFSIII) February 24, 2024
Um tweet posteriormente deletado de Jake Champion confirma que ele pessoalmente transferiu o domínio para a Funnull.
Possíveis cenários catastróficos
O ataque foi exposto porque usuários foram redirecionados para sites adultos e de apostas. No entanto, se o domínio foi vendido por uma "quantia que mudou a vida", parece improvável que tenha sido usado apenas para uma exploração tão básica.
Por semanas, esse ataque afetou meio milhão de sites, incluindo Intuit, The Guardian, Hulu e The Verge.
Veja alguns cenários catastróficos potenciais que poderiam ter sido executados ao assumir o controle de um único arquivo JavaScript de terceiros.
Ataque DDoS
Os atacantes podem coletar endereços IP de visitantes em meio milhão de sites e usar suas máquinas para enviar requisições a qualquer alvo, criando um dos maiores ataques DDoS já registrados. Isso pode paralisar grandes instituições, tanto privadas quanto governamentais, por horas.
Ataque ao Workday
Os atacantes podem enganar funcionários para que compartilhem suas credenciais do Workday, obtendo acesso não autorizado a sistemas internos ou simplesmente exfiltrando seus tokens de sessão. Isso pode resultar em:
- Manipulação da folha de pagamento
- Roubo de registros de funcionários
- Acesso a dados sensíveis de RH
- … e muito mais
Reescrever qualquer conteúdo em uma página web
Em sites de notícias infectados, os atacantes podem reescrever conteúdo para:
- Provocar reações ou pânico
- Manipular a opinião pública
- Alterar narrativas sobre assuntos controversos
- … e muito mais
Captura de PII e dados de cartão de crédito
Ataques no lado do cliente frequentemente coletam Informações de Identificação Pessoal (PII) e dados de pagamento. Com mais de meio milhão de sites afetados, incluindo muitos com formulários de checkout, os atacantes podem roubar dados de pagamento em massa.
Infectar outros sites
Um site infectado pode hospedar scripts maliciosos, permitindo que o ataque se espalhe. Essa tática complica os esforços de detecção e contenção. Essa técnica é comumente usada em brechas no lado do cliente, como visto no caso do Schrwaa[.].com (link seguro para um artigo).
Mineração de criptomoedas no navegador
Cryptojacking — forçar os navegadores dos usuários a minerar criptomoedas — é uma tática bem documentada. Se executada em meio milhão de sites de alto tráfego, os atacantes podem lucrar imensamente com milhões de visitantes diários. Leia sobre os ataques ao BrowseAloud e ao Copay event-stream para ver exemplos recentes.
Um cenário e
É fundamental ressaltar que esses cenários não são isolados — eles podem ocorrer simultaneamente. Os redirecionamentos já aconteceram, mas os outros cenários podem ter estado ativos também.
Sem monitoramento no lado do cliente, é impossível saber.
Para sermos precisos quanto às evidências: o único payload que os pesquisadores capturaram e decodificaram foi o redirecionamento. Uma desofuscação independente da SecureLayer7 não encontrou nenhuma prova capturada de coleta de credenciais, registro de teclas digitadas ou exfiltração de PII, e a divulgação forense da Sansec documentou o mesmo comportamento de apenas redirecionamento. Os cenários acima são, portanto, capacidade, não eventos confirmados — mas, como o script era reconstruído a cada requisição, uma variante de roubo de dados direcionada nunca apareceria em uma varredura pública. Redirecionamento: comprovado. Roubo silencioso e direcionado: plausível por design, nunca capturado.
Essa incerteza é o motivo pelo qual criamos o cside. Embora não possamos ver todos os ataques globalmente, monitoramos scripts de terceiros no seu site para detectar e prevenir que ataques como esse prejudiquem seus usuários.
Esperamos que o redirecionamento tenha sido o pior de tudo. Mas o fato de que algo muito pior poderia ter acontecido já é razão suficiente para agir. Em 2025, a OFAC sancionou a Funnull pela operação maior por trás deste domínio, um lembrete de que as pessoas que a operavam não eram amadores. Proteja seu site em segundos, gratuitamente, cadastrando-se hoje.
