Сайты Magento, WooCommerce, WordPress служат хостингом веб-скиммеров

Сайты Magento, WooCommerce, WordPress служат хостингом веб-скиммеров

Сайты Magento, WooCommerce, WordPress служат хостингом веб-скиммеров

Эксперты Akamai выявили новую киберкампанию в духе Magecart: злоумышленники взламывают сайты ретейлеров и внедряют веб-скиммеры для кражи платежных данных. Некоторые угнанные площадки используются как сменный C2-хостинг, облегчающий раздачу зловредов.

Чистая репутация легитимных доменов и ротация таких центров дистрибуции позволяют авторам атак продлить жизнь импровизированной инфраструктуре. Взломщики также используют различные уловки для сокрытия своих кодов: обфускацию, кодирование по Base64, маскировку под популярные сервисы — Google Analytics, Google Tag Manager.

Для взлома скорее всего используются уязвимости WooCommerce, WordPress, Shopify, Magento. Доставка целевого вредоноса осуществляется с помощью загрузчиков — небольших фрагментов JavaScript-кода, внедряемых в HTML-код страниц.

Сам веб-скиммер, ворующий ПДн и данные платежных карт, реализован в двух версиях. Одна сильно обфусцирована и снабжена списком CSS-селекторов, позволяющим кастомизировать атаку. Второй вариант защищен хуже; благодаря этому аналитики нашли IoC, которые помогли оценить масштабы Magecart-подобной кампании и выявить дополнительных жертв.

Украденная информация передается на сервер атакующих как параметр HTTP-запроса, в виде закодированной по Base64 строки. Эксфильтрация выполняется однократно для каждого посетителя, оформившего заказ (чтобы сократить объемы подозрительного трафика); с этой целью вредоносный скрипт помечает браузеры, в которых отработал.

 

Исследователи выявили скомпрометированные сайты в Северной и Южной Америке, а также в Западной Европе. Некоторые из них регистрируют сотни тысяч визитов в месяц, а значит, количество жертв кражи данных в таких случаях может измеряться десятками тысяч.

Ростелеком опроверг использование белых списков для домашнего интернета

Информация об ограничении доступа в интернет для пользователей фиксированного доступа в «Ростелекоме» назвали не соответствующей действительности. В компании подчеркнули, что подобные меры могут быть оправданы только в отношении мобильного интернета.

С таким заявлением оператор выступил в комментарии для «Радио РБК». Как отметили в пресс-службе «Ростелекома», такие ограничения вводятся лишь при угрозе атак дронов.

Это объясняется тем, что мобильный интернет может использоваться для наведения боевых беспилотников на потенциальные цели. Введение аналогичных ограничений для фиксированного доступа в сеть в компании назвали лишённым смысла.

Телеграм-канал «Код Дурова», который ранее распространил информацию о том, что в Ростове некоторые пользователи фиксированного интернета столкнулись с доступом только к ресурсам из «белого списка», позже также признал, что у абонентов крупных провайдеров такой проблемы нет. По данным авторов канала, о сбоях уже несколько дней сообщают пользователи соцсетей, однако в основном речь идёт о клиентах небольших операторов.

«Источник «Кода Дурова» на телеком-рынке подтверждает, что провайдеры могут быть не причастны к ситуации, когда у пользователей открываются только российские сайты, так как ограничения могут вводиться на ТСПУ, контролируемых Роскомнадзором», — именно такую версию канал считает наиболее вероятной причиной ограничений доступа.

Как уточнили в самом операторе, о котором шла речь в новости об ограничениях, в тот момент он находился под DDoS-атакой. При этом передача данных продолжалась по каналам, которые эта атака не затронула.

RSS: Новости на портале Anti-Malware.ru