O grupo Magecart não é o único coletivo de hackers que tem como alvo lojas de comércio eletrônico on-line em massa. Conhecido como guardião, esse grupo de crimes cibernéticos invadiu com êxito os back-end da loja online para alterar seu código-fonte e inserir scripts maliciosos. Esses scripts roubaram os detalhes do cartão de pagamento retirados dos formulários de pagamento. Mais que 570 lojas online foram hackeadas nos últimos três anos.
Keeper Magecart Hacking Grupo de Ataques
O grupo de hackers Keeper vem realizando skimming na web, e-skimming, e ataques semelhantes ao Magecart. Pesquisadores de Gêmeos que analisaram os ataques, nomeou o grupo Keeper Magecart. O nome do Keeper deriva do uso repetido de um único domínio chamado guarda de arquivos[.]org. O domínio foi usado para injetar JavaScript malicioso que rouba cartão de pagamento (JS) no código HTML dos sites das vítimas, bem como receber dados coletados do cartão.
De acordo com Gêmeos, o grupo está operando com uma rede interconectada de 64 domínios atacantes e 73 domínios de exfiltração. Por pouco 600 loja online em 55 países foram alvo entre agora e abril 1, 2017. Os ataques estão em andamento.
Os domínios de exfiltração e invasor do Keeper usam painéis de login idênticos e estão vinculados ao mesmo servidor dedicado; esse servidor hospeda tanto a carga maliciosa quanto os dados filtrados roubados dos sites das vítimas, O relatório de Gêmeos diz.
Outra descoberta importante do relatório é que pelo menos 85% dos sites afetados operam no Magento CMS, que tem sido o principal alvo dos grupos de hackers Magecart. A maioria das lojas on-line invadidas estava localizada nos Estados Unidos, seguido pelo Reino Unido e Holanda.
Os pesquisadores também descobriram um registro de acesso não seguro no painel de controle do Keeper, que continha 184,000 cartões de pagamento comprometidos com carimbos de data e hora que variam de julho 2018 a abril 2019:
Extrapolar o número de cartões por nove meses para a vida útil geral do Keeper, e dado o preço médio da dark web de $10 por cartão comprometido não presente (CNP) cartão, este grupo provavelmente gerou mais de $7 milhões de dólares com a venda de cartões de pagamento comprometidos.
Por que os ataques contra as lojas online Magento são tão bem-sucedidos?
Para ninguém de surpresa, o primeiro motivo está sendo executado em uma versão desatualizada do sistema de gerenciamento de conteúdo, neste caso Magento. O motivo número dois está utilizando complementos sem patch. Uma terceira opção, como apontado pelos pesquisadores de Gêmeos, é "ter credenciais de administrador comprometidas por meio de injeções de sequela", o que deixa os comerciantes de comércio eletrônico vulneráveis a uma variedade de vetores de ataque.
Keeper Magecart Capaz de Vários Ataques
O nível de dificuldade dos ataques do grupo Keeper Magecart varia. Gêmeos descobriu milhares de ataques, incluindo injeção dinâmica simples de código malicioso por meio de um domínio malicioso, e alavancar os serviços de armazenamento e esteganografia do Google Cloud ou GitHub para incorporar código malicioso nos logotipos e imagens dos domínios ativos para roubar dados do cartão de pagamento. A parte mais problemática, Contudo, é que esse grupo continua evoluindo e aprimorando suas técnicas maliciosas.
Em abril 2020, o grupo Magecart introduziu um novo skimmer conhecido como MakeFrame. De acordo com pesquisadores RiskIQ, os usos skimmer iframe aos dados de colheita, de onde vem o nome.
A escumadeira MakeFrame foi detectada pela primeira vez ao fim de Janeiro de. Desde então, várias versões foram capturados na natureza, apresentando vários níveis de obscurecimento. Em alguns casos, os pesquisadores dizem ter visto MakeFrame utilizando sites comprometidos para todos os três de suas funções de hospedagem do próprio código desnatação, carregar o skimmer em outros sites comprometidos, e exfiltrating os dados roubados.
“Existem vários elementos do skimmer MakeFrame que nos são familiares, mas é esta técnica em particular, que nos lembra Grupo Magecart 7,Disse RiskIQ.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: