Magecart теперь хранят украденные данные банковских карт в изображениях

Magecart теперь хранят украденные данные банковских карт в изображениях

Magecart теперь хранят украденные данные банковских карт в изображениях

Группировки Magecart, специализирующиеся на краже платёжной информации клиентов онлайн-магазинов, продолжают совершенствовать методы извлечения данных и ухода от детектирования. Теперь злоумышленники прячут украденные данные банковских карт в изображениях.

Киберпреступники, которых ИБ-сообщество окрестило общим термином Magecart, действуют с помощью веб-скиммеров. С 2010 года эксперты наблюдали за десятком подобных групп.

Как ранее отмечали специалисты компаний RiskIQ и FlashPoint, некоторые группировки действуют более профессионально. Например, получившая имя Group 4 команда использует весьма продвинутые методы кражи и хранения данных.

Среди жертв подобных киберпреступников была и британская авиакомпания British Airways, и другие крупные и узнаваемые бренды: Newegg, Ticketmaster, MyPillow, Amerisleep и Feedify.

Исследователи в области кибербезопасности то тут, то там обнаруживали десятки скимминговых скриптов, которые группы Magecart использовали для кражи данных банковских карт. Команда Sucuri отдельно отметила интересную тактику: злоумышленники «засовывают» информацию о картах пользователей в файлы изображений, хранящиеся на их серверах.

Этот трюк помогает скрыть факт кражи от экспертов и в целом избежать лишнего детектирования. Впоследствии преступники могут загрузить все спрятанные данные с помощью простых GET-запросов. Специалисты Sucuri в ходе анализа обнаружили несколько таких изображений.

Сначала эксперты обратили внимание на зашифрованную base64 информацию, а затем, уже расшифровав её, увидели, что это номера CVV, даты окончания срока действия и другие данные банковских карт. Исследователи также указали на использование обфускации. Пример:

<?php echo ""."h"."e"."".""."llo"."w"."o"."".""."r"."l"."d"."";
AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Многие не могут попасть в Госуслуги без MAX

Некоторые пользователи при входе в приложение Госуслуги столкнулись с предложением подключить мессенджер MAX для получения кодов подтверждения. При этом пропустить экран с таким уведомлением невозможно. Судя по всему, новое окно с безальтернативным выбором российского мессенджера появляется у тех, кто ещё не настроил двухфакторную аутентификацию, однако для её изменения всё равно требуется зайти в аккаунт.

На проблему обратило внимание РИА Новости. Один из корреспондентов агентства лично столкнулся с тем, что пропустить экран с предложением использовать MAX для получения кодов подтверждения при входе в приложение невозможно.

Функция получения кодов через MAX появилась в августе 2025 года. Она доступна даже в случаях, когда пользователь не может получить СМС.

Как отмечает портал «Код Дурова», появление экрана с требованием подключить MAX не зависит от того, зарегистрирован ли пользователь Госуслуг в этом мессенджере.

По данным исследования «Кода Дурова», в десктопных версиях браузеров подобное “незакрываемое” окно появляется реже — даже при активации режима «Запросить настольную версию сайта» в мобильном браузере.

Однако этот способ не гарантирует полного обхода проблемы. Альтернативой может стать изменение настроек двухфакторной аутентификации непосредственно в мобильном приложении Госуслуг.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru