Group-IB: JS-снифферы — одна из главных угроз рынка онлайн-торговли

Group-IB: JS-снифферы — одна из главных угроз рынка онлайн-торговли

Отчетом о первом исследовании рынка снифферов в даркнете поделилась международная компания Group-IB. Аналитики компании изучили JavaScript-снифферы, предназначенные для кражи данных банковских карт, а также проанализировали 2440 зараженных онлайн-магазинов, чья ежедневная аудитория составляет около полутора миллионов человек.

Как объясняют специалисты, JavaScript-снифферы представляют собой разновидность вредоносного кода, который размещается на скомпрометированных веб-ресурсах. Таким образом, платежные данные посетителей таких ресурсов невольно попадают в группу риска.

В случае постоянно развивающегося рынка онлайн-торговли (по прогнозам к 2023 году в России он вырастет более чем в 2 раза — до 2,4 трлн. рублей) JavaScript-снифферы представляют реальную угрозу для людей.

Изучив обнаруженные ранее снифферы, эксперты Group-IB смогли исследовать всю инфраструктуру и получить доступ к исходникам, панелям администраторов и инструментам злоумышленников.

В результате благодаря аналитическим системам Group-IB удалось выявить 38 разных семейств JS-снифферов, каждый из которых отличался уникальными признаками. 8 из найденных вредоносов описаны впервые.

«Значительная часть форумов с предложениями о покупке и аренде JS-снифферов состоит из русскоязычных киберпреступников», — утверждают в Group-IB.

Ориентировочная сумма ежемесячного дохода владельцев снифферов может составлять сотни тысяч долларов в месяц. Для примера — сайты, зараженные сниффером WebRank, посещают 250 000 человек в день.

«Если конверсия на этих сайтах составляет всего 1%, то транзакции проводят 2500 покупателей ежедневно. Таким образом, при минимальной вилке стоимости украденной карты, операторы WebRank могут заработать от 2 500$ до 12 500$ за один день “работы“ сниффера. Это от 75 000$ до 375 000$ в месяц. При этом WebRank – лишь третий в “рейтинге“ массовости заражений. Ресурсы, зараженные снифферами MagentoName и CoffeMokko, посещают 440 000 человек в день», — считают эксперты.

Подавляющее большинство из 2440 зараженных сайтов, которые проанализировали исследователи, были заражены семейством снифферов, известным под именем MagentoName.

Для его распространения операторы используют уязвимости в CMS Magento, на которой работают многие ресурсы в Сети.

Более 13% заражений приходится на долю снифферов семейства WebRank, использующего схему атаки на сторонние сервисы для внедрения вредоносного кода на целевые сайты.

Также более 11% приходится на заражения снифферами семейства CoffeMokko, операторы которого используют обфусцированные скрипты, нацеленные на кражу данных из форм оплаты определенных платежных систем, названия полей которых жестко записываются в коде сниффера. Среди таких систем можно выделить PayPal, Verisign, Authorize.net, eWAY, Sage Pay, WorldPay, Stripe, USAePay.

При этом в Group-IB также отметили «признаки конкурентной борьбы», которую демонстрировали некоторые из исследуемых семейств JS-снифферов. Оказалось, что вредоносы имеют функционал обнаружения и ликвидации JSснифферов конкурирующих групп.

Стоимость JS-снифферов составляет от $250 до $5000 на подпольных форумах.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фишеры случайно слили украденные пароли в поисковую выдачу

Киберпреступники запустили масштабную фишинговую кампанию, нацеленную на международные организации. В ходе атак злоумышленники успешно обходят Microsoft Office 365 Advanced Threat Protection (ATP) и крадут учётные данные сотрудников. Однако ошибка атакующих привела к сливу скомпрометированных паролей в Сеть.

Свои операции преступники запустили в августе прошлого года, основными жертвами стали компании, работающие в энергетической и строительной сферах. Фишинговую активность проанализировали исследователи из Check Point.

Конкретно эта кампания выделяется забавным фактом — ошибкой злоумышленников, которая привела к ненамеренной утечке украденных данных в публичный доступ.

«Воспользовавшись всего лишь простым запросом в Google, любой желающий мог найти пароли от электронной почты сотрудников пострадавших от фишеров организаций. Такого рода оплошность — просто подарок для других киберпреступников», — пишут специалисты Check Point.

Атаки злоумышленников начинались с электронных писем, содержащих вложенный HTML-файл. Если получатель открывал этот файл, ему предлагалось ввести пароль от Office 365 (для этого использовалась фейковая страница, замаскированная под легитимную).

По словам исследователей, атакующие постоянно дополняли и полировали используемый JavaScript-код, чтобы избежать детектирования антивирусными средствами. Вдобавок этот код создавал очень реалистичную картину, что позволяло убедить жертву вести данные.

Скомпрометированные учётные данные хранились в специальных текстовых файлах на взломанных серверах WordPress. Именно эти серверы, как оказалось, легко индексировались поисковыми системами (в частности, Google).

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru