Der Polyfill-Skandal von 2024 offenbart eine tiefere und gefährlichere Verschwörung als bislang bekannt. Im Februar vergangenen Jahres wurde das weit verbreitete Polyfill.io-Service, das Tausende Websites für JavaScript-Kompatibilität nutzen, von dem chinesischen CDN-Unternehmen Funnull übernommen. In der Folge begannen die Betreiber, bösartigen JavaScript-Code in die von cdn.polyfill.io bereitgestellten Skripte einzuschleusen.
Die infizierte Software zielten primär auf Mobilnutzer ab und leiteten diese mittels Umgehungstechniken auf Glücksspiel- und Erwachsenenseiten weiter. Im Juni 2024 bestätigten Sicherheitsunternehmen wie Sansec und C/side das Ausmaß der Kompromittierung. Über 100.000 Websites waren betroffen – ein außergewöhnlich großer Supply-Chain-Anschlag, der Cloudflare und Google zum Handeln zwang.
Doch die Geschichte endet nicht mit einem chinesischen Unternehmen. Die auf Infostealer-Malware spezialisierte Sicherheitsfirma Hudson Rock hat nun Beweise veröffentlicht, die eine nordkoreanische Beteiligung belegen. Das Unternehmen überwacht Daten von Computern, die mit Infostealer-Malware infiziert sind – darunter ein Gerät nordkoreanischer Hacker. Diese waren auf eine gefälschte Software-Installateure hereingefallen, die die LummaC2-Malware verteilte.
Die gesammelten Daten zeigen eine lückenlose Beweiskette: Die Hacker hatten Anmeldedaten für das Funnull-DNS-Management-Portal sowie für den Polyfill-Cloudflare-Tenant. Sie verfügten also über vollständige Kontrolle über die manipulierte Domain. Zusätzlich fanden sich Unterhaltungen über die Konfigurationsänderungen bei der Polyfill-Attacke.
Hudson Rock vermutet, dass das eigentliche Ziel darin bestand, Nutzer zu Glücksspielseiten der chinesischen Suncity Group umzuleiten. Dieses Glücksspiel-Ökosystem soll nach Ansicht der Sicherheitsfirma als Geldwäsche-Kanal für massive Kryptowährungs-Mengen dienen – mit dem Endziel, Gelder in den nordkoreanischen Staat zu transferieren.
Nordkoreanische Hacker sollen 2025 bereits über zwei Milliarden Dollar in Kryptowährungen gestohlen haben. Die Infostealer-Malware enthüllte zudem weitere nordkoreanische Operationen, etwa einen Hackeragenten, der sich bei der Kryptobörse Gate einschleusen konnte und Informationen zu deren Anti-Geldwäsche-Verfahren sammelte.
Der Fall verdeutlicht deutsche Unternehmen die erheblichen Risiken von Drittanbieter-Bibliotheken und die Notwendigkeit strenger Supply-Chain-Security-Maßnahmen.