Такая тактика позволяет избежать обнаружения и оставаться в системе долгое время.

Новая кампания группы MageCart по краже данных кредитных карт скрывает вредоносный код внутри модуля платежного шлюза «Authorize.net» для плагина WooCommcerce, позволяя хакерам избежать обнаружения. Об этом сообщили эксперты по безопасности веб-сайтов из Sucuri.

Когда злоумышленники взламывают коммерческий сайт на основе Magenta или WordPress, на котором работает платформа для интернет-магазина WooCommerce, они внедряют вредоносный код JavaScript в HTML-код магазина или страниц оформления заказа. Затем скрипты похищают данные введённой карты, адрес, номер телефона и адрес электронной почты покупателя.

Сейчас многие онлайн-магазины используют сканеры HTML-кода, чтобы найти вредоносные скрипты. Теперь злоумышленники, чтобы избежать обнаружения, внедряют вредоносные сценарии непосредственно в модули платежного шлюза сайта, используемые для обработки платежей по кредитным картам при оформлении заказа. Поскольку эти расширения обычно вызываются только после того, как пользователь введет данные своей кредитной карты и совершит оплату в магазине, их сложнее обнаружить с помощью средств безопасности.

Для приема кредитных карт на сайте магазины используют систему обработки платежей «Authorize.net», которой пользуются около 440 000 магазинов по всему миру. На скомпрометированном сайте киберпреступники изменили один из файлов Authorize.net, поддерживающих интеграцию платежного шлюза в среду WooCommerce.

Внедренный в конец файла код проверяет, содержит ли тело HTTP-запроса строку «wc-authorize-net-cim-credit-card-account-number». Наличие этой строки означает, что HTTP-запрос содержит платежные данные, которые отправляются после того, как пользователь оформит заказ из корзины.

Затем код генерирует случайный пароль, шифрует платежные реквизиты жертвы с помощью AES-128-CBC и сохраняет их в файле изображения, который позже отправляется хакерам.

Далее киберпреступники внедряют код в файл Authorize.net «wc-authorize-net-cim.min.js». Внедрённый код перехватывает дополнительные платежные реквизиты из элементов формы ввода на зараженном сайте, включая имя жертвы, адрес доставки, номер телефона и почтовый индекс.

Уклонение от обнаружения

Еще одним примечательным аспектом этой кампании является скрытность скиммера.

• вредоносный код внедряется в легитимные файлы платежного шлюза, поэтому регулярные сканирования HTML-кода сайта не обнаруживают вредоносный код;
• шифрование украденных платёжных данных помогает избежать обнаружения;
• злоупотребление API-интерфейсом Heartbeat WordPress для имитации обычного трафика и смешивания его с платежными данными жертв во время эксфильтрации помогает хакерам избежать обнаружения инструментами безопасности, отслеживающими несанкционированную эксфильтрацию данных.

Поскольку участники группировки MageCart совершенствуют свою тактику и увеличили число атак на сайты WooCommerce и WordPress, владельцам и администраторам сайтов важно сохранять бдительность и применять надежные меры безопасности.

Источник: securitylab