Polyfill afirma ter sido difamada após encerramento do domínio malicioso

Recentemente começaram a surgir alertas sobre como uma plataforma bastante usada na internet e em mais de 100 mil websites estaria a distribuir uma versão modificada maliciosamente de um script.

Agora, a plataforma veio deixar algumas críticas sobre as medida. Num conjunto de mensagens publicadas na sua conta da X, a plataforma que se apelida como uma “CDN para projetos open source”, deixou a indicação que o seu nome estaria a ser difamada sobre a propagação de malware no Polyfill.

De momento, o domínio IO do Polyfill aparenta ter sido encerrado pela entidade responsável pelo seu registo, a Namecheap, que terá tomado ações depois de vários investigadores de segurança terem relatado a distribuição de versões maliciosas de um script bastante usado pela internet.

No entanto, apesar disso, os criadores do projeto relançaram agora o mesmo sobre um novo endereço, e indicam ainda que não existem riscos de malware no mesmo, sendo que os alertas deixados sobre o domínio anterior também não teriam fundamento.

Segundo os gestores do projeto, todos os ficheiros do mesmo encontram-se aplicados em cache pelo Cloudflare, e não foram maliciosamente modificados. A entidade afirma não existirem riscos de se usar o domínio antigo e que a sua infraestrutura não foi afetada.

Apesar destas indicações dos responsáveis da Polyfill, muitos investigadores de segurança afirmam que se deve ter cautela na forma como o script é usado. O script foi inicialmente criado para fornecer a navegadores mais antigos algumas das funcionalidades existentes apenas para versões mais recentes dos mesmos.

No entanto, o projeto começou a ganhar algum destaque pelas piores razões quando, em Fevereiro de 2024, Andrew Betts, criador do script original, recomendou aos utilizadores não usarem o domínio .IO para carregar o mesmo.

O domínio teria sido adquirido pela empresa chinesa Funnull, que era desconhecida e não possuía qualquer atividade aparente no passado.

Embora o script em si seja relativamente sólido e seguro, o problema encontra-se no uso do domínio IO usado para distribuir o mesmo diretamente pelo site supostamente “oficial” para o projeto. Os utilizadores que necessitem de usar o mesmo são aconselhados a usarem versões alojadas de forma local ou a usarem plataformas como as da CDNJS e JSDelivr.