Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%
Prosty w realizacji i tani atak, który dotknął 100000 serwisów. Znowu mamy do czynienia z infekcją łańcucha dostaw.
Co się wydarzyło? Jak opisują badacze z Sansec, bohaterem pierwszoplanowym jest tym razem popularna biblioteka Polyfill JS. Bohaterem drugoplanowym jest chińska firma, która wykupiła Polyfill (uzyskując dostęp do stosownej domeny oraz konta na GitHub)
Chińczycy złośliwie podmienili fragment kodu, serwowany z cdn.polyfill[.]io który automatycznie pobiera masa serwisów webowych, korzystających z biblioteki Co robi ten kod? Przekierowuje odwiedzających zainfekowaną stronę na adres: www.googie-anaiytics[.]com, który oczywiście nie jest Google Analitycsem, tylko lewą stroną, przekierowującą ofiary dalej. A tam już może czekać, phishing, malware, czy inne niespodzianki.
Co robić?
Pamiętaj, że jeśli ładujesz kod do swojej strony/aplikacji z zewnętrznego serwisu (domeny), to zhackowanie lub przejęcie tej domeny oznacza, że atakujący mogą „dostać się” do Twojego systemu.
Kłania się tutaj też kwestia analizy ryzyka dostawców, z których korzystamy (w tym przypadku dostawcą był nieopłacany OpenSourcowy developer, który wybrał inną ścieżkę kariery niż „dłubanie” w bezpłatnym projekcie).
~ms
Po raz kolejny widać, ci co projektują strony/serwisy i je tworzą są ograniczeni umysłowo.
Ciekawe co by powiedzieli ci co tworzą projektują strony/serwisy gdyby zobaczyli wypluty w htmlu raport jakiegoś softu stworzonego przez gości z itsec. Znam kilku takich i wiem że nie wyzywaliby ich od ograniczonych, miłego dnia :-)
Minister zdrowia i opieki społecznej zawsze doradza nie używanie CDN-ów do hostowania aktywnych elementów witryny :|
Ale to nie tak – pobierasz nowszą wersję do projektu i potem hostujesz już to dziadostwo od siebie.
Jak zamiast jquery mamy teraz perdyliardy paczek ciągnących się za nuxtem itp to nie ma szans żeby jakieś dziadostwo tam nie wylądowało, co gorsza zostanie to odpalone po stronie serwera (jeszcze pół biedy jak tylko w procesie budowania aplikacji, gorzej jak na żywca).
Na liście z bardziej znanych z PL jest np. https://www.polskieradio.pl/