Η κυβερνοεπίθεση στην αλυσίδα εφοδιασμού της υπηρεσίας Polyfill αποτέλεσε μία από τις πιο εκτεταμένες ψηφιακές απειλές του 2024, επηρεάζοντας πάνω από 100.000 ιστοσελίδες παγκοσμίως. Αρχικά το περιστατικό αποδόθηκε σε κινεζικούς φορείς, όμως νεότερα ευρήματα αποκαλύπτουν ότι πίσω από την επιχείρηση ενδέχεται να βρίσκονταν και Βορειοκορεάτες χάκερ. Οι αποκαλύψεις αυτές επαναφέρουν στο προσκήνιο τον αυξανόμενο ρόλο κρατικά συνδεδεμένων ομάδων κυβερνοεπιθέσεων στο παγκόσμιο ψηφιακό οικοσύστημα και αναδεικνύουν πόσο ευάλωτη μπορεί να γίνει ακόμη και μια βασική υπηρεσία υποδομής του διαδικτύου.
Δείτε επίσης: Open VSX: Supply Chain επίθεση διανέμει το GlassWorm μέσω παραβιασμένου dev account
Πώς ξεκίνησε η κρίση στην υπηρεσία Polyfill
Τον Φεβρουάριο του 2024, η δημοφιλής υπηρεσία Polyfill.io, η οποία παρέχει κώδικα JavaScript για τη διασφάλιση συμβατότητας ιστοσελίδων με διαφορετικά προγράμματα περιήγησης, εξαγοράστηκε από την κινεζική εταιρεία CDN Funnull. Λίγο μετά την εξαγορά, ερευνητές ασφάλειας παρατήρησαν ότι τα scripts που διανέμονταν μέσω του domain cdn.polyfill.io είχαν τροποποιηθεί. Μέσα στον κώδικα είχε ενσωματωθεί κακόβουλο JavaScript, το οποίο ενεργοποιούνταν επιλεκτικά και στόχευε κυρίως χρήστες κινητών συσκευών. Το κακόβουλο script χρησιμοποιούσε τεχνικές αποφυγής ανίχνευσης και ανακατεύθυνε τους επισκέπτες σε ιστότοπους στοιχημάτων ή περιεχομένου για ενήλικες. Τον Ιούνιο του 2024 εταιρείες κυβερνοασφάλειας επιβεβαίωσαν την κακόβουλη δραστηριότητα, προκαλώντας έντονη ανησυχία στην κοινότητα των προγραμματιστών.
Περισσότεροι από 100.000 ιστότοποι εκτεθειμένοι
Η επίθεση απέκτησε γρήγορα τεράστιες διαστάσεις επειδή η βιβλιοθήκη Polyfill χρησιμοποιείται ευρέως σε ιστοσελίδες σε όλο τον κόσμο. Χιλιάδες επιχειρήσεις, ηλεκτρονικά καταστήματα και υπηρεσίες ενσωμάτωναν το συγκεκριμένο script για λόγους συμβατότητας χωρίς να γνωρίζουν ότι είχε μετατραπεί σε φορέα κακόβουλου κώδικα. Εκτιμάται ότι πάνω από 100.000 ιστότοποι επηρεάστηκαν άμεσα. Η αποκάλυψη οδήγησε σε μαζικές συστάσεις προς διαχειριστές ιστοσελίδων να αφαιρέσουν άμεσα κάθε αναφορά στο domain Polyfill, προκειμένου να περιοριστεί ο κίνδυνος περαιτέρω εκμετάλλευσης. Παράλληλα μεγάλες εταιρείες τεχνολογίας προχώρησαν σε δικά τους μέτρα προστασίας, μπλοκάροντας ύποπτη δραστηριότητα και προειδοποιώντας χρήστες.
Δείτε επίσης: Supply Chain Threat Protection: Νέα λύση ασφαλείας της SpyCloud
Νέα στοιχεία αποκαλύπτουν βορειοκορεατική εμπλοκή
Παρότι η εμπλοκή της Funnull είχε οδηγήσει πολλούς ειδικούς στο συμπέρασμα ότι επρόκειτο για κινεζική επιχείρηση, πρόσφατη έρευνα έφερε νέα δεδομένα. Η εταιρεία κυβερνοασφάλειας Hudson Rock, η οποία ειδικεύεται στην ανάλυση δεδομένων που συλλέγονται από κακόβουλο λογισμικό τύπου infostealer, εντόπισε στοιχεία που συνδέουν την υπόθεση με Βορειοκορεάτες χάκερ. Σύμφωνα με την έρευνα, ένας χάκερ κατέβασε ψεύτικο πρόγραμμα εγκατάστασης λογισμικού που εγκαθιστούσε το κακόβουλο LummaC2. Το malware αυτό συγκέντρωνε διαπιστευτήρια, αρχεία καταγραφής προγράμματος περιήγησης και άλλα ευαίσθητα δεδομένα από τον μολυσμένο υπολογιστή. Μέσα στα κλεμμένα δεδομένα εντοπίστηκαν στοιχεία πρόσβασης σε συστήματα διαχείρισης DNS της Funnull καθώς και σε λογαριασμούς διαχείρισης του Polyfill, δημιουργώντας μια ισχυρή αλυσίδα αποδεικτικών στοιχείων για τη σύνδεση των δύο πλευρών.
Κρυπτονομίσματα, διαδικτυακός τζόγος και οικονομικά κίνητρα
Οι ερευνητές εκτιμούν ότι η εκστρατεία δεν περιοριζόταν σε απλές ανακατευθύνσεις χρηστών. Πιθανός στόχος ήταν η διοχέτευση επισκεψιμότητας σε πλατφόρμες διαδικτυακού τζόγου που συνδέονται με κινεζικά δίκτυα εταιρειών. Μέσα από αυτό το οικοσύστημα, τεράστιοι όγκοι κρυπτονομισμάτων θα μπορούσαν να μετατραπούν και να διοχετευθούν πίσω σε βορειοκορεατικούς μηχανισμούς χρηματοδότησης. Οι κυβερνοεπιθέσεις αποτελούν άλλωστε βασική πηγή εσόδων για τη Βόρεια Κορέα. Αναλυτές εκτιμούν ότι μόνο το 2025 ομάδες χάκερ που συνδέονται με τη χώρα κατάφεραν να αποσπάσουν ψηφιακά περιουσιακά στοιχεία αξίας άνω των δύο δισεκατομμυρίων δολαρίων.
Δείτε επίσης: Νέα κακόβουλα πακέτα αποκαλύφθηκαν στο NuGet Supply Chain Attack
Η διείσδυση σε εταιρείες τεχνολογίας
Τα δεδομένα, που συλλέχθηκαν, αποκάλυψαν επίσης μια ξεχωριστή επιχείρηση κυβερνοκατασκοπείας. Σε αυτήν, ένας Βορειοκορεάτης πράκτορας κατάφερε να εξασφαλίσει θέση εργασίας σε μεγάλο ανταλλακτήριο κρυπτονομισμάτων χρησιμοποιώντας ψεύτικη ταυτότητα. Μέσω της πρόσβασης στα εσωτερικά συστήματα της εταιρείας, συγκέντρωνε πληροφορίες σχετικά με τις διαδικασίες εντοπισμού και αποτροπής ξεπλύματος χρήματος. Η υπόθεση δείχνει ότι οι σύγχρονες κυβερνοαπειλές δεν περιορίζονται πλέον σε τεχνικές επιθέσεις λογισμικού, αλλά συνδυάζουν κοινωνική μηχανική, οικονομικά δίκτυα και κρατική στρατηγική για τη χρηματοδότηση μυστικών δραστηριοτήτων.
Τι σημαίνει για την ασφάλεια του διαδικτύου
Η υπόθεση Polyfill λειτουργεί ως υπενθύμιση ότι ακόμη και μικρά κομμάτια κώδικα που χρησιμοποιούνται μαζικά μπορούν να μετατραπούν σε όπλα μεγάλης κλίμακας. Για οργανισμούς και προγραμματιστές η συνεχής παρακολούθηση εξαρτήσεων λογισμικού γίνεται πλέον κρίσιμος παράγοντας ασφάλειας.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
