100,000サイト超が標的、中国組織買収後のcdn[.]polyfill[.]io悪用で警鐘

Last Updated on 2024-06-27 05:51 by 門倉 朋宏

cdn[.]polyfill[.]ioドメインが、100,000以上のウェブサイトにJavaScriptコードを提供するために使用されていたが、今年初めに中国の組織に買収された後、Webサプライチェーン攻撃の手段として悪用されていることが明らかになった。この攻撃では、動的に生成されたペイロードを使用し、ユーザーをポルノやスポーツベッティングサイトにリダイレクトし、データ盗難、クリックジャッキング、その他の攻撃につながる可能性がある。

セキュリティ研究者たちは、cdn[.]polyfill[.]ioを使用するウェブサイトを通じて端末に注入される悪意のある難読化コードを発見し、このコードはHTTPヘッダーに基づいてペイロードを動的に生成し、特定のモバイルデバイスでのみ活性化し、管理者ユーザーを避け、実行を遅延させる。

Polyfillのユーザーは、ドメインがFunnullという中国の会社に買収された後、悪意のある活動の可能性について2月に既に警告されており、Polyfillプロジェクトの開発者であるAndrew Bettsは、コンテンツ配信ネットワーク（CDN）への参照を削除するようユーザーに促していた。

この攻撃は、広範囲にわたるアプリケーションやWebプロパティで広く使用されているウェブサイトのスクリプトやその他のコードを損なうサプライチェーン攻撃であり、Polyfillを使用している人は直ちに行動を起こす必要がある。また、問題のドメインcdn[.]polyfill[.]ioは、使用しているサイトから直ちに削除されるべきである。

【ニュース解説】

今年初めに中国の組織に買収された後、cdn[.]polyfill[.]ioドメインがWebサプライチェーン攻撃の手段として悪用されていることが発覚しました。このドメインは、100,000以上のウェブサイトがJavaScriptコードを提供するために使用していましたが、現在は悪意あるコードを配信し、ユーザーを不適切なサイトにリダイレクトするなどの攻撃を行っています。

この攻撃の特徴は、HTTPヘッダーに基づいてペイロードを動的に生成し、特定のモバイルデバイスでのみ活性化する点です。これにより、検出を回避し、管理者ユーザーを避け、実行を遅延させることが可能になります。さらに、偽のGoogle Analyticsリンクを含むJavaScriptファイルが配布され、これによりユーザーはポルノやスポーツベッティングサイトにリダイレクトされることがあります。

Polyfillのユーザーは、ドメインがFunnullに買収された後、悪意のある活動の可能性について既に警告されていました。Polyfillプロジェクトの開発者であるAndrew Bettsは、コンテンツ配信ネットワーク（CDN）への参照を削除するよう促していました。

このようなサプライチェーン攻撃は、広範囲にわたるアプリケーションやWebプロパティで広く使用されているウェブサイトのスクリプトやその他のコードを損なうため、非常に深刻です。そのため、Polyfillを使用している人は直ちに行動を起こし、問題のドメインを使用しているサイトから削除する必要があります。

この攻撃の影響は広範囲に及びます。多くのウェブサイトが現代的なJavaScript機能を古いブラウザで使用できるようにするためにPolyfillを依存していたため、攻撃者はこの信頼を利用して悪意あるコードを配布しました。この事態は、ウェブサイトの所有者や開発者が第三者のリソースを使用する際のリスクを再評価するきっかけとなります。

ポジティブな側面としては、この攻撃が明らかになったことで、ウェブサイトのセキュリティ対策の重要性が再認識され、より安全な代替手段の探求や自己ホスティングの検討が進む可能性があります。しかし、潜在的なリスクとしては、今後も同様のサプライチェーン攻撃が発生する可能性があり、ウェブサイトのセキュリティ維持がより困難になることが挙げられます。

規制に与える影響としては、このような攻撃が増加することで、ウェブサービスの提供者に対するセキュリティ基準の強化や、第三者リソースの使用に関するより厳格なガイドラインの設定が求められるようになるかもしれません。将来への影響としては、ウェブサイトのセキュリティ対策の強化や、サプライチェーン攻撃に対する意識の高まりが期待されますが、同時に攻撃者もより巧妙な手法を開発する可能性があります。長期的な視点では、ウェブサイトのセキュリティとプライバシー保護のための継続的な努力が必要となるでしょう。

from Polyfill.io Supply Chain Attack Smacks Down 100K+ Websites.