A Cloudflare, uma das principais fornecedoras de serviços de Content Delivery Network (CDN), segurança na nuvem e proteção DDoS, alertou que não autorizou o uso de seu nome ou logo no site Polyfill.io, que recentemente foi flagrado injetando malware em mais de 100.000 websites em um significativo ataque à cadeia de suprimentos.
Além disso, visando manter a internet segura, a Cloudflare está automaticamente substituindo links polyfill.io por um espelho seguro em websites que utilizam a proteção da Cloudflare (incluindo planos gratuitos).
A Cloudflare criticou o uso não autorizado do seu nome e logo pelo Polyfill.io, pois isso pode levar os usuários a acreditarem que o site ilícito é endossado pela Cloudflare.
A líder em segurança na nuvem também alertou que esta é mais uma razão para não confiar no Polyfill.io.
"Ao contrário do que é afirmado no site do polyfill.io, a Cloudflare nunca recomendou o serviço do polyfill.io ou autorizou o uso do nosso nome em seu website", a equipe da Cloudflare escreveu em um post no blog publicado ontem.
"Nós pedimos que eles removessem a declaração falsa e até agora, ignoraram nossos pedidos.
Isso é mais um sinal de alerta de que eles não podem ser confiáveis,' continua a publicação.
O aviso segue a descoberta do ataque à cadeia de suprimentos do Polyfill.io que afetou mais de 100.000 websites.
Em fevereiro, uma entidade chinesa chamada 'Funnull' comprou o domínio polyfill.io e introduziu código malicioso nos scripts entregues por seu CDN.
Conforme descoberto pelos pesquisadores da Sansec, o domínio começou a injetar malware em dispositivos móveis que visitavam um website que incorporava código de cdn.polyfill[.]io.
Ontem, as entradas DNS para cdn.polyfill[.]io foram misteriosamente definidas para os servidores da Cloudflare, mas isso não é um sinal definitivo de contenção do ataque, já que os (novos) proprietários do domínio poderiam facilmente alternar o DNS de volta para servidores maliciosos.
Além disso, é totalmente possível que os proprietários do Polyfill.io estivessem — como qualquer outro site, utilizando os serviços de proteção DDoS da Cloudflare, mas isso não implica em um endosso da Cloudflare ao domínio.
A partir de hoje, polyfill.io não está mais online.
Nas últimas 24 horas, a Cloudflare lançou um serviço automático de reescrita de URL para substituir quaisquer links polyfill.io nos websites dos clientes da Cloudflare por um espelho CDN seguro configurado pela Cloudflare.
"Nos últimos 24 horas, lançamos um serviço automático de reescrita de URL em JavaScript que vai reescrever qualquer link para o polyfill.io encontrado em um site intermediado pela Cloudflare por um link para nosso espelho sob cdnjs", anunciou a equipe da Cloudflare no mesmo post do blog.
Isso evitará a quebra da funcionalidade do site enquanto mitiga o risco de um ataque à cadeia de suprimentos.
Qualquer website no plano gratuito já tem essa funcionalidade ativada automaticamente.
Websites em qualquer plano pago podem ativar esse recurso com um único clique.
Os usuários da Cloudflare podem encontrar essa nova configuração em Segurança ⇒ Configurações em qualquer zona que utilize a Cloudflare.
Para aqueles que não usam Cloudflare, a empresa ainda sugere remover quaisquer usos do polyfill.io e identificar uma solução alternativa.
"Enquanto a função de substituição automática resolverá a maioria dos casos, a melhor prática é remover o polyfill.io dos seus projetos e substituí-lo por um espelho seguro como o da Cloudflare mesmo que você seja um cliente", afirma a empresa.
Você pode fazer isso procurando em seus repositórios de código por instâncias do polyfill.io e substituindo-as por cdnjs.cloudflare.com/polyfill/ (o espelho da Cloudflare).
Esta é uma mudança que não quebra nada, pois as duas URLs vão servir o mesmo conteúdo de polyfill.
Todos os proprietários de websites, independentemente de usar a Cloudflare, deveriam fazer isso agora.
Outra empresa de cibersegurança, a Leak Signal, também criou um site, Polykill.io, que permite pesquisar por sites que usam cdn.polyfill.io e fornece informações sobre a mudança para alternativas.
Publicidade
A primeira certificação prática brasileira de wireless hacking veio para mudar o ensino na técnica no país, apresentando labs práticos e uma certificação hands-on.
Todas as técnicas de pentest wi-fi reunidos em um curso didático e definitivo.
Saiba mais...