Vinterferien er rundt om hjørnet, og det er også ny skimming malware. Cyberkriminelle har for nylig frigivet kampagner, der distribuerer Grelos-malware, en almindelig Magecart-variant.
Analyseret af RiskIQ forskere, denne stamme omfatter en genvask af den oprindelige kode, der først blev set i 2015. Grelos består af en læsser og en skimmer, der bruger base64-forvirring, der skjuler en to-trins skimmer.
Grelos Skimmer i detaljer
Faktisk, Grelos-skimmeren har eksisteret siden 2015, med sin oprindelige version tilknyttet Magecart Groups 1 og 2, rapporten påpeger. Det er bemærkelsesværdigt, at nogle trusselsaktører fortsætter med at bruge nogle af de oprindelige domæner, der er brugt til at indlæse skimmeren. Men hvordan kom forskerholdet på tværs af denne seneste variant?
Holdet stødte på en unik cookie, der forbandt dem med en nylig variant af skimmeren. Tilsyneladende, skimmeren har en nyere version, der brugte en falsk betalingsform til at stjæle betalingsdata. Desværre, snesevis af sider er allerede kompromitteret.
“I mange nylige Magecart-kompromiser, vi har set stigende overlapninger i infrastruktur, der bruges til at være vært for forskellige skimmere, der ser ud til at blive implementeret af ikke-relaterede grupper, der bruger forskellige teknikker og kodestrukturer.,” RiskIQ siger.
Den overlappende infrastruktur inkluderer også en hostingudbyder, der bruges af nogle skimming-domæner. Disse domæner indlæses flere, ikke-relaterede skimmere, såsom Inter skimmer og forskellige versioner af Grelos. RiskIQ “så endda domæner, der indlæser Inter-skimmeren og Grelos-skimmeren fra den samme IP-adresse.” Mønsteret betyder muligvis, at flere skimming-grupper bruger den samme infrastruktur til at være vært for skimming-domænerne og købe hostingtjenester fra den samme tredjepartsudbyder.
Online-kunder skal være ekstra forsigtige med at skimme malware
Sikkerhedsforskere advarer om en stigning i skimmeangreb, da feriehandelssæsonen er nær. I år kan online gave shopping være endnu farligere med den nuværende Covid-19 pandemi og folk, der er låst derhjemme.
“Det bedste forsvar mod Magecart er at holde styr på deres taktik og kende koden, dit websted kører, inklusive kode fra tredjepart. Omgående patch af sårbare systemer kan forhindre skade på dine kunder og, som vi har set, en stor bøde,” RiskIQ konkluderer.
Mange Magecart-inspirerede hackinggrupper i naturen
I juli 2020, Keeper Magecart-hackere brød med succes ind i onlinebutiks backends for at ændre deres kildekode og indsætte ondsindede scripts. Manuskripterne stjal betalingskortoplysninger taget fra kassen. Mere end 570 onlinebutikker er blevet hacket i de sidste tre år.
Keeper-hacking-gruppen har udført web-skimming, e-skimming, og angreb, der ligner Magecart. Tvillingeforskere, der analyserede angrebene, navngav gruppen Keeper Magecart. Keeper-navnet stammer fra gentagen brug af et enkelt domæne kaldet filholder[.]org, bruges til at indsprøjte ondsindet kort-stjæling af JavaScript til offerets websteder’ HTML-kode og modtag høstede kortdata.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: