На сайтах с устаревшей CMS Magento проснулся цепкий веб-скиммер

На сайтах с устаревшей CMS Magento проснулся цепкий веб-скиммер

На сайтах с устаревшей CMS Magento проснулся цепкий веб-скиммер

В канун Черной пятницы в 50 крупных магазинах, построенных на платформе Magento, заработал новый зловред, ворующий платежные данные. Избавиться от этого веб-скиммера непросто: взломщики оставили на сайтах бэкдоры и добавили механизм, обеспечивающий повторное инфицирование в случае обнаружения и удаления вредоносного кода.

По свидетельству Sansec, злоумышленники начали готовиться к новой кампании еще в апреле и хорошо позаботились о скрытности операций. Разбор текущих атак показал, что все скомпрометированные сайты используют Magento ветки 2.2, снятой с поддержки в декабре 2019 года. Пользователей еще тогда призывали произвести апгрейд, однако многие этого до сих пор не сделали.

Взлом сайтов в данном случае осуществляется посредством эксплуатации уязвимостей, пропатченных разработчиком в марте прошлого года. Ход атаки при этом выглядит следующим образом:

  1. Получение URL консоли администратора через эксплойт уязвимости раскрытия информации.
  2. Перехват сессионного ключа залогинившегося администратора посредством SQL-инъекции.
  3. Вход в админ-панель и создание пригодного для эксплуатации шаблона email с целью загрузки и исполнения вредоносного PHP-кода.
  4. Установка бэкдора.
  5. Установка веб-скиммера.

При этом внедрять код стилера на забэкдоренный сайт злоумышленники не торопятся.

Веб-скиммер в данном случае разделен на две части — клиентскую и серверную. На стороне клиента вредоносный код внедряется в какой-нибудь статичный JavaScript-файл (например, require.js); в этом виде он может показывать поддельную форму оплаты покупки — для каждого магазина свою. Вводимые покупателем данные скрипт отсылает на сервер для проверки, и такое действие подозрений не вызывает: оно обычно при проведении платежных транзакций.

За сбор и сохранение краденой информации отвечает вторая половина стилера — добавленный на бэкенд-сервер код PHP. Оператор в этом случае получает ворованные данные через запрос HTTP POST.

Бэкдор, установленный посредством PHP-инъекции (PHP Object Injection, POI), злоумышленники активируют вызовом функции сравнения товаров — Product Compare. Один из таких вредоносных объектов вполне тривиален, и его легко обнаружить. Второй более опасен: он добавляет на сервер функцию десериализации PHP — она по стандарту не рекомендуется к использованию, так как позволяет захватить контроль над сервером посредством POI-атаки. К счастью, вызов этой функции всегда можно отследить по журналу событий.

Одновременно на сервере в фоновом режиме запускается сторожевой процесс, отвечающий за сохранность бэкдора. Этот сторож маскируется под легитимные системные процессы — dnsadmin dormant, sshd [net], php-fpm: pool www. Если бэкдор нашли и вычистили, зловредный процесс за пару дней установит новую копию (она вшита в код). Более того, он откатит временные метки всех файлов законного пользователя, чтобы возврат вредоносного кода остался незамеченным.

Присутствие зловредной службы, со слов экспертов, можно обнаружить на TCP-порту 9000 — по всей видимости, это резервный канал связи, по которому операторы могут подавать команды. Наличие стороннего сторожа также выявит поиск по списку запущенных процессов с помощью утилиты командной строки (sudo grep -l Magento.Catalog /proc/*/exe).

К сожалению, операторы зловреда предусмотрели и такой сценарий. Они дополнительно устанавливают на сервер PHP-код, способный на лету воровать пароли администратора и отсылать их на сторонний коллектор. Если доступ к взломанному серверу потерян и сторожевой процесс прибит, у злоумышленников останутся ключи, с помощью которых можно будет вернуть утраченные позиции.

На 42% объектов коммерческой недвижимости изношена телеком-инфраструктура

По данным исследования компании «Обит», на 42% объектов коммерческой недвижимости в России есть признаки износа сетевой инфраструктуры или её дублирования. На каждом пятом объекте выявлены серьёзные нарушения норм безопасности, прежде всего противопожарных.

Отчёт об исследовании оказался в распоряжении ComNews. Исследование проведено на основе анализа данных о телекоммуникационной инфраструктуре на 1000 объектах коммерческой недвижимости Москвы, Санкт-Петербурга и Казани, собранных за 2025 год.

Как показало исследование, на 42% объектов наблюдаются как минимум признаки износа телекоммуникационной инфраструктуры. На такой же доле объектов обнаружено её дублирование. На 20% площадок зафиксированы серьёзные нарушения норм безопасности, в первую очередь противопожарных требований.

Главной причиной такой ситуации авторы исследования называют отсутствие единого управления телекоммуникационной инфраструктурой. На половине объектов централизованного управления сетью нет. В итоге каждый арендатор часто управляет своим сегментом самостоятельно, без координации с владельцем объекта или управляющей компанией.

Из-за этого схемы подключения не всегда согласуются с инженерными службами, маркировка кабельной инфраструктуры выполняется лишь частично, а неиспользуемое оборудование не демонтируется. Это создаёт риски нарушения требований безопасности и может приводить к штрафам со стороны контролирующих органов.

В целом из-за неэффективного управления трудозатраты управляющих компаний могут достигать 1000 человеко-часов в год. В финансовом выражении упущенная выгода сопоставима с годовыми поступлениями как минимум от одного арендатора.

«При проведении административно-управленческого аудита на одном объекте мы насчитали шесть провайдеров, каждый – со своей логикой, серверной и ценником. Результат: кассы падают, камеры висят, арендаторы недовольны, а директор УК по наитию делает вид, что "это не наш контур ответственности". В итоге – простои, потери данных и нервная агония. По нашим оценкам, такие сбои съедают 1,5–2% чистого операционного дохода в год и напрямую снижают капитализацию объекта. Коллеги по цеху регулярно в отчётах по офисному и ретейл-рынку указывают: цифровая нестабильность снижает арендный спрос на 5–7%», – поделился наблюдениями управляющий партнёр консалтингово-девелоперской компании «Территория Дела» Денис Троценко.

«Бизнес-центры, коммерческие этажи жилой застройки и торговые комплексы, особенно построенные пять-десять лет назад, часто превращаются в "клетки Фарадея". Энергоэффективное остекление и монолитный бетон ухудшают сигнал, а помещения, выделенные под телеком-узлы, не соответствуют ни требованиям пожарной безопасности, ни задачам современного бизнеса. В таких условиях любой оператор вынужден строить сети поверх отделки, что и ведёт к нарушениям, зафиксированным в исследовании», – прокомментировал результаты вице-президент по развитию продуктов и работе с МСП «Ростелекома» Тимофей Абраменко.

RSS: Новости на портале Anti-Malware.ru