Хакеры прячут веб-скиммер в WooCommerce-модуле обработки платежей

Хакеры прячут веб-скиммер в WooCommerce-модуле обработки платежей

Хакеры прячут веб-скиммер в WooCommerce-модуле обработки платежей

Один из клиентов Sucuri получил неприятное уведомление от банка: данные засветившихся в его интернет-магазине кредиток попали в руки мошенников. Оказалось, что на сайте работает веб-скиммер, который во избежание обнаружения спрятан в файлах, обеспечивающих интеграцию платежного шлюза Authorize.net с WooCommerce и WordPress.

Это необычный случай: подобные инъекции на сайтах электронной коммерции обычно сводятся к внедрению вредоносных JavaScript в HTML-шаблон магазина или страницы оформления заказа. Кража данных платежных карт и ПДн происходит, когда покупатель заполняет соответствующую веб-форму.

Выявить такую угрозу можно сканированием HTML на стороне клиента, и многие коммерсанты уже подписались на услуги специалистов в этой области. Взломщики теперь вынуждены тратить больше усилий и проявлять изобретательность, чтобы скрыть вредоносные инъекции.

В рамках выявленной атаки на интернет-магазин хакеры внедрили свои скрипты в расширение Authorize.net для WooCommerce. Один вредонос был добавлен к файлу class-wc-authorize-net-cim.php; он ищет в HTTP-запросах строку wc-authorize-net-cim-credit-card-account-number и при положительном результате генерирует случайный пароль, шифрует платежные данные по AES-128-CBC и сохраняет итог в файле изображений для последующего вывода.

Второй вредоносный код был обнаружен в файле wc-authorize-net-cim.min.js. Он собирает дополнительную информацию из веб-форм: имя жертвы, адрес доставки, номер телефона, почтовый индекс или зип-код.

По словам экспертов, повышенная скрытность в данном случае достигается за счет нескольких факторов:

  • нестандартный выбор объектов для инъекций;
  • использование сильного шифрования и отложенного вывода краденых данных;
  • использование Heartbeat API, встроенного в WordPress, для сокрытия несанкционированной эксфильтрации данных в регулярном трафике.
Подпишитесь на новости

SECURITM подключила внешние ИИ к данным об ИБ через MCP

Чтобы выяснить, какие высокие риски остались без задач, теперь можно спросить привычного ИИ. SECURITM запустила MCP-сервер: он позволяет внешнему ассистенту обращаться к данным платформы об активах, рисках, задачах и метриках без ручного переноса сведений в чат.

Как сообщает разработчик, это первый MCP-сервер среди российских SGRC/SOAR-систем. MCP — открытый протокол подключения ИИ к внешним инструментам и источникам данных.

Сценарий простой: пользователь спрашивает, какие критически важные активы остались без владельца, кто просрочил задачи или как изменились показатели за месяц. Ассистент находит сведения в SECURITM и собирает таблицу, сводку для руководства или проект плана работ.

Потом запрос можно уточнить — например, сгруппировать просрочки по ответственным. Подключение рассчитано на клиентов с поддержкой MCP. Среди вариантов разработчик называет GigaChat, решения Яндекса, Claude, ChatGPT, Cursor и локальные модели с соответствующей интеграцией. Настройка зависит от выбранного инструмента.

Сервер работает только на чтение: ИИ не сможет переписать риски или закрыть неудобные задачи, чтобы отчёт выглядел бодрее. Для подключения используется отдельный MCP-токен, доступ можно ограничить по IP-адресам.

Функция дополняет встроенного ИИ-ассистента: теперь работать с данными можно и из внешнего ИИ. Она доступна в платных версиях SECURITM — облачной и для установки в инфраструктуре заказчика.

Но порядок в реестрах нейросеть не создаст одним красноречием. Качество ответа зависит от исходных данных и модели, а выводы требуют проверки.

RSS: Новости на портале Anti-Malware.ru