Supply-Chain-Angriff auf Polyfill: Über 100.000 Websites betroffen

In einer alarmierenden Entwicklung wurde die beliebte Open-Source-JavaScript-Bibliothek Polyfill, die von mehr als 100.000 Websites verwendet wird, Ziel eines groß angelegten Supply-Chain-Angriffs. Sansec Forensics Team enthüllte, dass eine chinesische Firma im Februar die Domain und den GitHub-Account von Polyfill übernommen hat. Seitdem wird die Domain cdn.polyfill.io dazu genutzt, Malware auf mobile Geräte zu injizieren. Laut der Suchmaschine publicwww.com sind unter den Opfern auch beliebte Websites aus Deutschland wie kleiderkreisel.de.

Die Malware, die gezielt auf bestimmte mobile Geräte und zu spezifischen Zeiten aktiv wird, leitet Nutzer zu einer gefälschten Google Analytics-Domain weiter und schließlich zu einer Sportwetten-Seite. Dabei erkennt die Malware Administratoren und Web-Analysedienste, um eine Entdeckung zu vermeiden.

Google hat bereits reagiert und Google Ads für E-Commerce-Seiten, die Polyfill verwenden, blockiert. Der ursprüngliche Autor von Polyfill rät, die Bibliothek nicht mehr zu nutzen, da sie für moderne Browser nicht mehr erforderlich ist. Alternativen von Fastly und Cloudflare stehen zur Verfügung und bieten eine sichere Option für diejenigen, die weiterhin Polyfills benötigen.