В 300+ интернет-магазинах найден веб-скиммер, спрятанный в GTM-контейнер

В 300+ интернет-магазинах найден веб-скиммер, спрятанный в GTM-контейнер

В 300+ интернет-магазинах найден веб-скиммер, спрятанный в GTM-контейнер

Хакеры, ворующие платежные данные с помощью веб-скиммеров, начали использовать Google Tag Manager (GTM) для сокрытия своего JavaScript-кода. За девять месяцев исследователи из Gemini Advisory (собственность Recorded Future) обнаружили вредоносные GTM-контейнеры на 316 коммерческих сайтах — в основном небольших.

Менеджер тегов от Google позволяет создавать контейнеры для ресурсов, что облегчает обновление кодов, подключение сервисов и добавление скриптов на сайт (например, с целью сбора аналитики или показа рекламы). В данном случае злоумышленники создают собственный контейнер GTM с вредоносным содержимым и незаметно загружают его на взломанный сайт, а соответствующий тег script внедряют в целевые страницы.

Такая тактика позволяет месяцами скрывать работающий веб-скиммер, так как системы защиты веб-приложений (WAF) редко блокируют трафик, ассоциируемый с GTM, а вручную выловить вредоносный тег среди легитимных затруднительно.

Авторов текущих атак эксперты разделили на две группы — по способу использования GTM. Первая (впервые засветилась в марте) внедряет веб-скиммер непосредственно в контейнер, вторая (действует с мая) помещает его на удаленный сайт, а в контейнере прячет обфусцированный загрузчик.

Первая группа хакеров более активна, на ее долю приходится две трети взломов, зафиксированных Gemini. Домены, используемые ими для аккумуляции краденых данных, имитируют ресурсы Google (имена созданы с использованием тайпсквоттинга либо подмены TLD).

 

Вторая группировка использует домены двойного назначения — для хранения кода веб-скиммера и вывода краденых данных. За время наблюдений эти хакеры меняли свои хранилища шесть раз.

 

Обе группы атакуют различные платформы: Magento (в основном версии 2), WordPress, Shopify, BigCommerce. Сайты-жертвы — как правило, магазины с небольшим трафиком, меньше 50 тыс. посещений в месяц.

Краденые платежные данные впоследствии выставляются на продажу в даркнете. На одном из таких маркетплейсов исследователи обнаружили финансовую информацию 88 тыс. шоперов, похищенную в рамках текущей кампании.

Криминальные группировки, полагающиеся на веб-скиммеры (эксперты обычно объединяют их под общим именем Magecart), постоянно совершенствуют свои техники и тактики. Так, недавно одна из таких групп начала внедрять на серверы троянские программы удаленного доступа (CronRAT, NginRAT), позволяющие подключать скрипт для кражи платежных данных на лету.

Роскомнадзор случайно вырубил R.E.P.O., Call of Duty: Mobile и Warhammer

В минувшие выходные россияне столкнулись с массовым сбоем зарубежных игр. При попытке подключения к онлайн-проекту у многих геймеров возникала ошибка 50000 — превышение времени ожидания ответа сервера.

Первыми на проблемы пожаловались поклонники R.E.P.O. и VRChat, затем стали также отваливаться Party Animals, Geometry Dash, Warhammer Gladius, Kards, Back 4 Blood, Call of Duty: Mobile.

Как выяснилось, иностранные игровые проекты пали жертвой усиления борьбы Роскомнадзора с телефонными мошенниками в мессенджерах, а также VPN-сервисами, нарушающими российское законодательство.

Дело в том, что вводимые РКН ограничения реализуются через ТСПУ, установленные на сетях всех российских провайдеров. Блокировка сетевых пакетов осуществляется автоматически на основании используемых подсетей, портов и протоколов, без учета контекста.

 

В результате под раздачу могут попасть и невинные жертвы. Аналогичные ситуация с сопутствующими потерями возникла лет восемь назад при попытке РКН наказать за непослушание Telegram, а позднее — Twitter.

Целевую блокировку игры регулятор предпринял в минувшем декабре, ограничив россиянам доступ к Roblox, чтобы оградить детей и подростков от вредного для них контента.

Отсутствие регулирования в отрасли, повышающей киберриски для малолетних геймеров, заботит также парламентариев. Госдума РФ предложила обеспечить возможность самозапрета на внутриигровые платежи и подготовила законопроект, обязывающий разработчиков и издателей игр ввести маркировку контента, а также идентификацию пользователей по номеру телефона и данным из ЕСИА либо ЕБС.

RSS: Новости на портале Anti-Malware.ru