Polyfill и други зловредни CDN услуги били ръководени от един оператор

По-рано тази седмица ви разказахме за атака към хиляди сайтове чрез широко използвана уеб услуга. По-конкретно е използвана услуга, чиято цел е оптимизирането на представянето им в различните браузъри. Последвало разследване показва, че това не е единствената подобна услуга, използвана за злонамерени цели. Става дума за четири CDN услуги, които са управлявани от един оператор, предава Bleeping Computer.

По-рано тази година, китайска компания купува Polyfill.io. Polyfill.io и свързаният с нея проект – polyfill е описван, като услуга, която осигурява необходимия код, помагащ на модерни уеб функции да работят в стари браузъри. Атаката към посещаващите засегнатите страници се изразява в нежелано пренасочване. Основно към бетинг сайтове и такива със съдържание за възрастни. Атаките били внимателно изготвени. Те действат на определени мобилни устройства, не се активират веднага, а свързаният с тях код е защитен от анализ. Последвалото разследване на специалисти по информационна сигурност показало, че освен този, още три доставчика са организирани да осъществяват атаки към посетителите на сайтовете – BootCDN, Bootcss и Staticfile.

Разследването е проведено китайски разработчик от Ханджоу, MalwareHunterTeam и независим специалист. Ву се натъкнал на хранилище в GitHub с името data.polyfill.com. В него се съхранявал бекенд изходния код, свързан със сайта. В него той открил също .env файл. Този тип файлове обикновено се използват от разработчиците за съхранение на конфигурационни настройки, API ключове и др. Именно благодарение на откритото в GitHub акаунта и последвалото разследване се оказало, че освен Polyfill.io, същата страна контролирала домейните staticfile.net, bootcdn.net, и bootcss.com.

Според MalwareHunterTeam атаките засягат далеч по-голям брой сайтове от първоначално смятаното. Матю Принс, изпълнителен директор на Cloudflare, нарича инцидентите „извънредно притеснителни“. По думите му polyfill.io се използва от десетки милиони сайтове в Мрежата. Що се отнася до Polyfill, то дейността им вече е спряна, но специалисти предполагат, че няма да е за дълго.