Caesar Cipher Skimmer
Számos széles körben használt tartalomkezelő rendszer (CMS), például a Magento, a WordPress és az OpenCart, a közelmúltban találkozott a Caesar Cipher Skimmer néven ismert új hitelkártya-webszkimmerrel. Ez a rosszindulatú program beszivárog az e-kereskedelmi webhelyekre azzal a szándékkal, hogy titkosan gyűjtsön pénzügyi és fizetési adatokat.
A támadási kampány kifejezetten a WordPresshez készült WooCommerce bővítményt célozta meg, ahol a „form-checkout.php” PHP fájlt manipulálta a hitelkártyaadatok kinyerése érdekében. A helyzetet felügyelő kutatók megjegyezték, hogy a beszúrt kódot úgy módosították, hogy csökkentsék láthatóságát a szkript zavarásának minimalizálásával.
Tartalomjegyzék
A Caesar Cipher Skimmer telepíthető a korábban feltört webhelyeken
Pontosabban, ugyanazt a helyettesítési mechanizmust használja, mint a Caesar titkosításban, hogy a fenyegető kódrészletet elrontott karakterláncba kódolja, és elrejtse a külső tartományt, amely a hasznos adat tárolására szolgál. Feltételezhető, hogy korábban az összes webhelyet más eszközökkel feltörték, hogy létrehozzanak egy PHP-szkriptet, amely a "style.css" és a "css.php" néven szerepel, hogy látszólagosan utánozzon egy HTML-stíluslapot, és elkerülje az észlelést.
Ezeket a szkripteket pedig úgy tervezték, hogy betöltsenek egy másik obfuszkált JavaScript-kódot, amely létrehoz egy WebSocket-et, és csatlakozik egy másik szerverhez, hogy lekérje a tényleges skimmert.
A szkript elküldi az aktuális weboldalak URL-címét, amely lehetővé teszi a támadók számára, hogy testreszabott válaszokat küldjenek minden egyes fertőzött webhelyre. A második réteg szkriptjének egyes verziói még azt is ellenőrzik, hogy egy bejelentkezett WordPress-felhasználó töltötte-e be, és módosítja a választ.
A Caesar Cipher Skimmer kezelői valószínűleg oroszok
A forgatókönyv egyes verziói orosz nyelvű megjegyzéseket tartalmaznak, amelyek arra utalnak, hogy a művelet mögött fenyegető szereplők oroszul beszélhetnek.
A támadás nem csupán a „form-checkout.php” fájl módosításán alapul a WooCommerce-ben; A támadók a törvényes WPCode beépülő modult is kihasználták, hogy a skimmert a webhelyek adatbázisaiba helyezzék.
A Magento-alapú webhelyeken a JavaScript-injektálások olyan adatbázistáblázatokban találhatók, mint a core_config_data. Az OpenCart oldalakhoz használt módszer egyelőre ismeretlen. Weboldal-platformként való széles körű elterjedésének köszönhetően a WordPress és kiterjedt plugin-ökoszisztémája jövedelmező célpontokká vált a rosszindulatú szereplők számára, és bőséges támadási lehetőségeket kínál számukra.
A webhelytulajdonosoknak rendszeresen frissíteniük kell CMS-szoftvereiket és beépülő moduljaikat, szigorú jelszóhasználati gyakorlatot kell fenntartaniuk, és rendszeresen ellenőrizniük kell a gyanús rendszergazdai fiókokat.
A szkimmer áldozatai súlyos következményekkel járhatnak
A hitelkártyás webszkimmerek, más néven Magecart támadások vagy digitális skimmelések, súlyos következményekkel járhatnak mind a fogyasztókra, mind a vállalkozásokra nézve:
- Pénzügyi veszteségek : A Skimmerek begyűjtik a feltört webhelyeken megadott hitelkártyaadatokat. Ezt az információt azután csalárd tranzakciókhoz használják fel, amelyek közvetlen pénzügyi veszteségekhez vezetnek az érintett személyek számára.
- Személyazonosság-lopás : A begyűjtött hitelkártyaadatok felhasználhatók személyazonosság-lopás céljára, beleértve új fiókok nyitását vagy az áldozat nevében történő jogosulatlan vásárlásokat.
- Az üzleti hírnév károsodása : Azok a vállalatok, amelyek elszenvednek egy átfutó támadást, sérülhetnek hírnevükben, és elveszíthetik az ügyfelek bizalmát. A fogyasztók elkerülhetik a vásárlást azokon a webhelyeken, amelyeken a biztonság megsértését tapasztalták.
- Szabályozási szankciók : A joghatóságtól függően a vállalkozásokat pénzbírsággal és szankciókkal sújthatják, ha nem védik megfelelően az ügyfelek adatait. Az adatvédelmi előírásoknak, például a GDPR-nak vagy a CCPA-nak való megfelelés szintén veszélybe kerülhet.
- Működési zavar : Egy átfutó támadás hatásainak enyhítése jelentős erőforrásokat és időt igényel. Előfordulhat, hogy a vállalkozásoknak ideiglenesen le kell zárniuk webhelyeiket vagy szolgáltatásaikat a jogsértés kivizsgálása és orvoslása érdekében, ami működési zavarokhoz és pénzügyi kihatásokhoz vezethet.
- A bevételre gyakorolt hosszú távú hatás : A vállalkozások még az átfutó támadások mérséklése után is csökkenhet az ügyfélforgalom és az értékesítések visszaesése miatt. Az ügyfelek bizalmának helyreállítása és a pozitív hírnév újjáépítése hosszú távú kihívást jelenthet.
Összefoglalva, a hitelkártyás webszkimmerek jelentős kockázatot jelentenek mind a fogyasztók, mind a vállalkozások számára, befolyásolva a pénzügyi stabilitást, a megbízhatóságot és a szabályozási megfelelést. A megelőző intézkedések, például a rendszeres biztonsági ellenőrzések, a robusztus titkosítási gyakorlatok és az azonnali szoftverfrissítések elengedhetetlenek e kockázatok mérsékléséhez és az ilyen nem biztonságos tevékenységek elleni védelemhez.
