A febbraio 2024, il Attacco alla catena di fornitura Polyfill.io—un ottimo esempio di attacchi alla catena di fornitura del software—ha compromesso oltre 100,000 siti web in tutto il mondo. Questo incidente ha coinvolto dirottamento del pacco, dove FUNNULL, un'entità malevola, ha ottenuto il controllo del dominio e del repository GitHub di Polyfill, iniettando malware nel servizio. Il malware ha preso di mira specificatamente gli utenti mobili, reindirizzandoli a siti Web di gioco fraudolenti sfruttando le vulnerabilità nella distribuzione di codice dinamico di Polyfill basata su intestazioni HTTP e user agent.
Analisi tecnica: come funziona l'attacco Polyfill
Polyfill è ampiamente adottato per garantire la compatibilità tra le funzionalità web moderne e i browser più vecchi. Gli aggressori hanno utilizzato dirottamento del pacco acquistando il cdn.polyfill.io dominio e incorporando script dannosi. Ciò che ha reso questo attacco così pericoloso è stato il comportamento sofisticato del malware:
- Generazione di codice dinamico: Il servizio di Polyfill ha generato risposte JavaScript personalizzate in base al dispositivo che accede al sito Web (ad esempio, mobile vs. desktop), intestazioni HTTP e user agent. Gli aggressori hanno sfruttato questa natura dinamica, iniettando payload dannosi su misura per dispositivi specifici, in particolare i telefoni cellulari.
- Tecniche di evasione: Il malware era intelligente. Ritardava l'esecuzione quando venivano rilevati servizi di analisi come Google Analytics, impedendo che le sue azioni apparissero nelle statistiche del sito. Inoltre, non si attivava se venivano rilevati utenti amministratori o sviluppatori, evitando ulteriormente il rilevamento precoce durante il debug o il test.
- Reindirizzamento mobile: Una volta attivato, il malware reindirizzava gli utenti a siti Web di gioco d'azzardo fraudolenti impersonando domini legittimi (ad esempio, googie-anaiytics.com). Gli aggressori hanno persino manipolato le finestre temporali per ridurre i sospetti, eseguendo il payload solo durante determinate ore per cogliere di sorpresa gli ignari utenti mobili.
I siti più grandi colpiti dall'attacco Polyfill
Migliori Attacco alla catena di fornitura Polyfill ha interessato oltre 100,000 siti web, tra cui importanti organizzazioni come:
- World Economic Forum
- Intuit
- JSTOR
- Bank of Ireland
- Coldwell Banker
- Live Nation
- Brandeis University
- Società degli aeroporti di Dubai
- Fondo di difesa ambientale
Queste vittime di alto profilo sottolineano la portata globale dell'attacco e la vulnerabilità di grandi istituzioni per violazioni della catena di fornitura.
Avvisi precoci e risposta
Andrea Betts, il creatore originale di Polyfill, aveva avvisato gli sviluppatori mesi prima dell'attacco di interrompere l'utilizzo del servizio Polyfill dopo aver perso il controllo del dominio. Il suo avvertimento è rimasto in gran parte inascoltato fino a quando non è stato lanciato l'attacco di FUNNULL. Una volta scoperto, reti di distribuzione di contenuti come Cloudflare e Fastly ha fornito alternative sicure, mentre Betts ha ribadito il suo consiglio agli sviluppatori di rimuovere completamente i riferimenti Polyfill.
Nessun sito web oggi richiede nessuno dei polyfill presenti in https://t.co/3xHecLPXkB library. La maggior parte delle funzionalità aggiunte alla piattaforma web vengono rapidamente adottate da tutti i principali browser, con alcune eccezioni che in genere non possono essere comunque polyfillate, come Web Serial e Web Bluetooth.
— Andrew Betts (@triblondon) 25 Febbraio 2024
Esempio di payload dannoso Polyfill
Per illustrare la complessità dell'attacco alla supply chain di Polyfill, Sansec ha fornito un esempio dettagliato del payload dannoso utilizzato. Questo payload si è adattato dinamicamente in base al dispositivo dell'utente, attivando reindirizzamenti a siti Web fraudolenti e impiegando tecniche per eludere il rilevamento. Per uno sguardo più approfondito alla ripartizione tecnica di questo payload, puoi controllare Di Sansec analisi completa ed esempio di codice dannoso.
Perché si è verificato l'attacco alla supply chain di Polyfill?
L'attacco alla supply chain di Polyfill sottolinea la criticità vulnerabilità nella dipendenza da terze parti gestione. Il moderno ecosistema JavaScript si basa molto su librerie open source e gli sviluppatori spesso usano strumenti come npm per integrare queste librerie automaticamente. Senza un auditing rigoroso o un monitoraggio continuo, i pacchetti compromessi possono passare inosservati, come si vede con Polyfill.
Inoltre, il ritmo rapido di sviluppo e distribuzione negli ambienti software odierni spesso privilegia funzionalità e velocità rispetto a controlli di sicurezza approfonditi. Gli aggressori sfruttano questa lacuna, prendendo di mira librerie popolari per massimizzare il loro impatto. Nel caso di Polyfill, una volta ottenuto il controllo del dominio, gli aggressori hanno sfruttato l'uso diffuso della libreria per iniettare codice dannoso in un vasto numero di siti Web.
Questo incidente evidenzia l'importanza di implementare misure di sicurezza rigorose, come strumenti di controllo delle dipendenze, monitoraggio in tempo reale e solidi piani di risposta agli incidenti, per proteggersi da simili attacchi alla supply chain del software. Le organizzazioni devono dare priorità alla sicurezza nei loro flussi di lavoro di sviluppo per salvaguardare efficacemente i loro ecosistemi digitali.
Prevenire futuri attacchi: gestione solida delle dipendenze
Quando si gestiscono le dipendenze, Quello di Xygeni Open Source Security piattaforma impiega più livelli di protezione, progettati per rilevare, mettere in quarantena e correggere i componenti dannosi in tempo reale ed evitare attacchi alla supply chain del software.
Rilevamento malware in tempo reale: Xygeni monitora costantemente i registri pubblici, analizzando il codice sospetto prima che entri nell'ambiente di sviluppo. Ciò consente il blocco proattivo di minacce come l'attacco Polyfill, come evidenziato in di Luis Rodríguez serie di articoli.
Avvisi automatici e quarantena: Xygeni isola automaticamente i pacchetti compromessi e genera avvisi, consentendo ai team di sviluppo di agire rapidamente. Integrandosi con CI/CD pipelines, qualsiasi minaccia può essere fermata prima che raggiunga la produzione. In casi come l'incidente di Polyfill, questa funzionalità impedisce un impatto diffuso bloccando in anticipo il codice dannoso.
Priorità dinamica e SBOM: Xygeni assegna dinamicamente la priorità alle vulnerabilità in base al contesto, alla sfruttabilità e all'impatto aziendale. Generando un distinta base del software in tempo reale (SBOM), le organizzazioni possono tracciare tutti i componenti di terze parti, assicurando una trasparenza completa. Questo monitoraggio in tempo reale è fondamentale quando si gestiscono dipendenze open source, consentendo risposte rapide a incidenti come l'hijacking di Polyfill.
Nella serie di articoli di Luis Rodriguez, l'attenzione su difesa proattiva contro pacchetti open source dannosi viene discusso in dettaglio. L'approccio di Xygeni non solo copre il rilevamento in tempo reale, ma fornisce anche percorsi di correzione automatizzati, consentendo alle organizzazioni di tornare a versioni sicure senza interrompere la produzione
Check out i pacchetti dannosi Open Source serie di articoli qui per saperne di più su come Xygeni gestisce la sicurezza open source.
Proteggi le tue dipendenze Open Source dal malware
Scopri strategie proattive per proteggere il tuo software open source dalle minacce malware. Scarica il nostro whitepaper per approfondimenti essenziali sulla protezione da malware.
Lezioni dall'attacco Polyfill
Migliori Attacco alla catena di fornitura Polyfill.io fornisce lezioni fondamentali sui rischi delle dipendenze di terze parti nello sviluppo web moderno.
- Vigilanza sulle dipendenze di terze parti: Questo è il messaggio più critico. Le organizzazioni devono rivedere, controllare e monitorare regolarmente tutte le librerie di terze parti che usano. L'eccessivo affidamento su dipendenze non verificate può esporre i sistemi a gravi rischi.
- Misure di sicurezza proattive: Monitoraggio continuo, come ad esempio con Rilevamento delle minacce in tempo reale di Xygeni, può individuare precocemente le vulnerabilità.
- Istruzione e formazione: Mantenere tutti i membri del team aggiornati sulle ultime minacce rafforza la sicurezza aziendale.
L'attacco alla supply chain di Polyfill serve come un potente promemoria della crescente minaccia rappresentata da attacchi alla catena di fornitura del software. Questi attacchi sfruttano le vulnerabilità nei componenti di terze parti ampiamente utilizzati, lasciando esposte le organizzazioni di tutte le dimensioni. Adottando misure di sicurezza proattive, come monitoraggio in tempo reale, rilevamento automatico delle minaccee gestione delle dipendenze robusta—come quelle offerte da Xygeni—le aziende possono proteggersi da minacce simili in futuro. Rimanere vigili e mantenere una supervisione completa delle librerie di terze parti sono essenziali per prevenire compromessi su larga scala come Polyfill.
Proteggi le tue dipendenze open source dagli attacchi alla supply chain del software
Non lasciare che la tua applicazione cada vittima di attacchi alla catena di fornitura del software come Polyfill. Xygeni Open Source Security piattaforma offre monitoraggio in tempo reale, mappatura avanzata delle dipendenze e ripristino automatico per proteggere il tuo sviluppo pipelines da pacchetti compromessi.
Assumi subito il controllo della tua supply chain software. Salva una demo e scopri come Xygeni può proteggere la tua organizzazione da minacce future.
