Caesar Cipher Skimmer

Diversos sistemes de gestió de continguts (CMS) àmpliament utilitzats, com ara Magento, WordPress i OpenCart, s'han trobat recentment amb un nou skimmer web de targetes de crèdit conegut com a Caesar Cipher Skimmer. Aquest programari maliciós s'infiltra als llocs web de comerç electrònic amb la intenció de recollir secretament detalls financers i de pagament.

La campanya d'atac es va dirigir específicament al complement WooCommerce per a WordPress, on va manipular el fitxer PHP "form-checkout.php" per extreure informació de la targeta de crèdit. Els investigadors que supervisen la situació han observat que el codi injectat s'ha alterat per reduir-ne la visibilitat minimitzant l'ofuscament de l'script.

El Caesar Cipher Skimmer es pot desplegar a llocs prèviament compromesos

Concretament, utilitza el mateix mecanisme de substitució emprat en el xifratge de César per codificar la peça de codi amenaçadora en una cadena confusa i ocultar el domini extern que s'utilitza per allotjar la càrrega útil. Es pressuposa que tots els llocs web s'han compromès prèviament a través d'altres mitjans per organitzar un script PHP que es diu "style.css" i "css.php" en un aparent esforç per imitar un full d'estil HTML i evadir la detecció.

Aquests scripts, al seu torn, estan dissenyats per carregar un altre codi JavaScript ofuscat que crea un WebSocket i es connecta a un altre servidor per obtenir el skimmer real.

L'script envia l'URL de les pàgines web actuals, que permet als atacants enviar respostes personalitzades per a cada lloc infectat. Algunes versions de l'script de la segona capa fins i tot comproven si l'ha carregat un usuari de WordPress que ha iniciat sessió i modifiquen la resposta.

Els operadors del Caesar Cipher Skimmer són probablement russos

Algunes versions del guió contenen comentaris escrits en rus, que indiquen que els actors de l'amenaça darrere de l'operació poden ser de parla russa.

L'atac no es basa únicament en modificar el fitxer 'form-checkout.php' a WooCommerce; els atacants també han explotat el connector legítim WPCode per injectar el skimmer a les bases de dades del lloc web.

Als llocs web basats en Magento, les injeccions de JavaScript es troben a taules de bases de dades com core_config_data. El mètode utilitzat per als llocs d'OpenCart segueix sent desconegut en aquest moment. A causa de la seva adopció generalitzada com a plataforma de llocs web, WordPress i el seu extens ecosistema de connectors s'han convertit en objectius lucratius per als actors maliciosos, proporcionant-los àmplies oportunitats d'atac.

És necessari que els propietaris de llocs web actualitzin regularment el seu programari i complements CMS, mantinguin pràctiques de contrasenya sòlides i realitzin auditories periòdiques per detectar qualsevol compte d'administrador sospitós.

Les víctimes d'un skimmer podrien suportar greus conseqüències

Els skimmers web de targetes de crèdit, també coneguts com a atacs Magecart o skimming digital, poden tenir greus conseqüències tant per als consumidors com per a les empreses:

• Pèrdues financeres : els skimmers recullen les dades de la targeta de crèdit introduïdes en llocs web compromesos. Aquesta informació s'utilitza després per a transaccions fraudulentes, cosa que comporta pèrdues financeres directes per a les persones afectades.
• Robatori d'identitat : la informació de la targeta de crèdit recollida es pot utilitzar amb finalitats de robatori d'identitat, com ara obrir comptes nous o fer compres no autoritzades en nom de la víctima.
• Danys a la reputació empresarial : les empreses que pateixen un atac de desnatació poden patir danys a la seva reputació i pèrdua de confiança dels clients. Els consumidors poden evitar comprar als llocs web que han experimentat bretxes de seguretat.
• Sancions reguladores : depenent de la jurisdicció, les empreses poden ser multades i rebre sancions per no protegir les dades dels clients de manera adequada. La submissió a les normatives de protecció de dades com ara GDPR o CCPA també es pot veure compromesa.
• Pertorbació operativa : mitigar els efectes d'un atac de desnatació requereix recursos i temps importants. És possible que les empreses hagin de tancar temporalment els seus llocs web o serveis per investigar i corregir l'incompliment, la qual cosa comporta una interrupció operativa i un impacte financer.
• Impacte a llarg termini en els ingressos : fins i tot després de mitigar un atac de desnatació, les empreses poden experimentar una reducció del trànsit de clients i de les vendes com a conseqüència de l'incompliment. Restaurar la confiança dels clients i reconstruir una reputació positiva pot ser un repte a llarg termini.

En resum, els skimmers web de targetes de crèdit suposen riscos significatius tant per als consumidors com per a les empreses, que afecten l'estabilitat financera, la fiabilitat i el compliment de la normativa. Les mesures preventives, com ara auditories de seguretat periòdiques, pràctiques d'encriptació sòlides i actualitzacions ràpides de programari, són essencials per mitigar aquests riscos i protegir-se d'aquestes activitats insegures.