Polyfill ادعا می‌کند که «افرام» شده است، پس از بسته شدن دامنه بازمی‌گردد

صاحبان Polyfill.io پس از اینکه polyfill.io بسته شد، سرویس CDN جاوا اسکریپت را مجدداً در دامنه جدیدی راه اندازی کردند زیرا محققان اعلام کردند که این سرویس کدهای مخرب را در بیش از 100000 وب سایت ارسال می کند.
سرویس Polyfill ادعا می‌کند که «به‌طور بدخواهانه بدنام شده است» و در معرض «پیام‌های رسانه‌ای تهمت‌آمیز به Polyfill» قرار گرفته است.
Polyfill: “شخصی ما را بدنام کرده است”
به نظر می رسد دامنه Polyfill.io از امروز توسط ثبت کننده Namecheap بسته شده است.
با این حال، صاحبان سرویس، سرویس را در دامنه جدیدی راه‌اندازی کرده‌اند و ادعا می‌کنند که «هیچ خطری در زنجیره تأمین وجود ندارد».
در یک سری پست در X (توئیتر سابق)، شرکت مشکوک CDN علیه اتهامات مربوط به دست داشتن در یک حمله زنجیره تامین در مقیاس بزرگ صحبت کرده است:
Polyfill می نویسد: “ما پیام های رسانه ای را پیدا کردیم که به Polyfill تهمت می زدند. می خواهیم توضیح دهیم که تمام خدمات ما در Cloudflare ذخیره شده اند و هیچ خطر زنجیره تامین وجود ندارد.”
این سرویس همچنین ادعا می‌کند که «افتخار» شده است و خطری ناشی از استفاده از CDN آن وجود دارد:

یک نفر بدخواهانه ما را بدنام کرده است. ما هیچ خطری در زنجیره تامین نداریم زیرا تمام محتوا به صورت ایستا ذخیره می شود. هر گونه دخالت اشخاص ثالث می تواند خطرات بالقوه ای را برای وب سایت شما ایجاد کند، اما هیچ کس این کار را انجام نمی دهد زیرا اعتبار خود ما را به خطر می اندازد. ما قبلاً…
— Polyfill (@Polyfill_Global) 26 ژوئن 2024
ارائه‌دهندگان خدمات این سرویس را مجدداً در polyfill.com راه‌اندازی کرده‌اند — همچنین در Namecheap ثبت شده و در زمان آزمایش توسط BleepingComputer کاملاً کاربردی است.
هنوز به هیچ پلی پری اعتماد نکنید
با وجود ادعاهای والای Polyfill مبنی بر ایمن بودن برای استفاده، حقایق و یافته‌های متخصصان امنیتی خلاف این را ثابت می‌کنند.

Polyfill در یک دامنه جدید برمی‌گردد (Feross Aboukhadijeh از طریق X)
پروژه منبع باز اصلی، Polyfill برای توسعه دهندگان جاوا اسکریپت منتشر شد تا عملکردهای مدرن را به مرورگرهای قدیمی‌تری که معمولاً از چنین ویژگی‌هایی پشتیبانی نمی‌کنند، اضافه کند.اما، خالق آن، اندرو بتز، هرگز مالک و هیچ ارتباطی با دامنه polyfill.io نداشت که کد Polyfill را از طریق CDN ارائه می‌کرد:

در فوریه، یک نهاد چینی به نام «Funnull» polyfill.io را خرید و کدهای مخرب را در اسکریپت‌های ارائه‌شده توسط CDN خود معرفی کرد.
محققان Sansec اخیراً شناسایی کرده‌اند که حمله زنجیره تامین ناشی از اسکریپت‌های اصلاح‌شده Polyfill.io به بیش از 100000 وب‌سایت ضربه زده است. این دامنه بدافزار را در دستگاه‌های تلفن همراهی که از وب‌سایت‌هایی بازدید می‌کنند که کد را مستقیماً از cdn.polyfill[.]io جاسازی می‌کنند، وارد می‌کند.
دیروز، شرکت امنیت ابری، Cloudflare نیز در مورد استفاده غیرمجاز Polyfill.io از نام و لوگوی Cloudflare انتقاد کرد.این بیانیه اعلام کرد که شکست Polyfill.io در حذف “گزاره نادرست” از وب سایت خود علیرغم تماس با Cloudflare، “یکی دیگر از علائم هشدار دهنده است که نمی توان به آنها اعتماد کرد.”

Polyfill.io حاوی پیام «محافظت امنیتی Cloudflare» است که ممکن است اشتباه تعبیر شود (BleepingComputer)
Cloudflare بیشتر ادعاهای Sansec را تأیید کرد که کد ارائه شده توسط CDN Polyfill.io در واقع کاربران را به سایت‌های شرط‌بندی ورزشی هدایت می‌کرد و این کار را با استفاده از یک نام دامنه تایپی (google-anaiytics[.]com) انجام داد که اشتباه املایی عمدی Google Analytics بود.
متیو پرینس، یکی از بنیانگذاران و مدیر عامل کلادفلار، همچنین فاش کرد که 4 درصد از اینترنت یا ده ها میلیون وب سایت از polyfill.io استفاده می کنند و پیامدهای حمله را “بسیار نگران کننده” خواند.
علاوه بر این، Google شروع به اطلاع رسانی به تبلیغ‌کنندگان در مورد این حمله زنجیره تامین کرد و به آنها هشدار داد که صفحات فرود آنها حاوی کدهای مخرب است و می‌توانند بازدیدکنندگان را بدون اطلاع یا اجازه مالک وب‌سایت به دور از سایت مورد نظر هدایت کنند.

نامه گوگل به تبلیغ کنندگان در مورد حمله زنجیره تامین
در ایمیل گوگل آمده است: «به نظر می‌رسد کدی که باعث این تغییر مسیرها می‌شود از چند ارائه‌دهنده منابع وب شخص ثالث مختلف از جمله Polyfill.io، Bootcss.com، Bootcdn.net یا Staticfile.org می‌آید».
گزارش‌های مشابه را می‌توانید با جستجوی «polyfill.io» در Google (https://www.google.com/search?q=polyfill.io) پیدا کنید.
Simon Wijckmans، بنیانگذار سرویس امنیت وب c/side، همچنین از استفاده از CDN Polyfill.io توصیه کرد و اظهار داشت که در حالی که پروژه منبع باز Polyfill خود “جامد” است و می تواند توسط هر کسی در یک محیط کنترل شده میزبانی شود، ” مشکل در دامنه cdn.polyfill.io است که باید فوراً از سایت های شما حذف شود.”
به این ترتیب، وب‌سایت‌ها و توسعه‌دهندگان باید از استفاده از polyfill.io یا polyfill.com خودداری کنند و استفاده از سرویس موجود را با جایگزین‌های امنی که توسط Cloudflare و Fastly راه‌اندازی شده است، جایگزین کنند.
به‌روزرسانی، 27 ژوئن، 08:45 صبح به وقت شرقی: یک کپی از ایمیل از طرف Google به تبلیغ‌کنندگان و یک مرجع به پست وبلاگ c/side اضافه شد.