Caesar Cipher Skimmer

Diversi sistemi di gestione dei contenuti (CMS) ampiamente utilizzati, come Magento, WordPress e OpenCart, hanno recentemente riscontrato un nuovo Web skimmer per carte di credito noto come Caesar Cipher Skimmer. Questo malware si infiltra nei siti di e-commerce con l'intento di raccogliere segretamente dettagli finanziari e di pagamento.

La campagna di attacco ha preso di mira specificamente il plugin WooCommerce per WordPress, manipolando il file PHP "form-checkout.php" per estrarre informazioni sulla carta di credito. I ricercatori che supervisionano la situazione hanno notato che il codice inserito è stato alterato per ridurne la visibilità riducendo al minimo l'offuscamento dello script.

Il Caesar Cipher Skimmer può essere utilizzato in siti precedentemente compromessi

Nello specifico, utilizza lo stesso meccanismo di sostituzione impiegato nel codice Caesar per codificare il pezzo di codice minaccioso in una stringa confusa e nascondere il dominio esterno utilizzato per ospitare il carico utile. Si presume che tutti i siti web siano stati precedentemente compromessi con altri mezzi per mettere in scena uno script PHP chiamato "style.css" e "css.php" nel tentativo apparente di imitare un foglio di stile HTML ed eludere il rilevamento.

Questi script, a loro volta, sono progettati per caricare un altro codice JavaScript offuscato che crea un WebSocket e si connette a un altro server per recuperare lo skimmer vero e proprio.

Lo script invia l'URL delle pagine Web correnti, consentendo agli aggressori di inviare risposte personalizzate per ciascun sito infetto. Alcune versioni dello script di secondo livello controllano anche se è stato caricato da un utente WordPress che ha effettuato l'accesso e modificano la risposta per lui.

Gli operatori del Cipher Skimmer Caesar sono probabilmente russi

Alcune versioni della sceneggiatura contengono commenti scritti in russo, indicando che gli autori della minaccia dietro l'operazione potrebbero essere di lingua russa.

L'attacco non si basa esclusivamente sulla modifica del file "form-checkout.php" in WooCommerce; gli aggressori hanno anche sfruttato il plugin legittimo WPCode per inserire lo skimmer nei database dei siti web.

Nei siti Web basati su Magento, le iniezioni di JavaScript si trovano nelle tabelle del database come core_config_data. Il metodo utilizzato per i siti OpenCart rimane al momento sconosciuto. Grazie alla sua diffusa adozione come piattaforma web, WordPress e il suo vasto ecosistema di plugin sono diventati obiettivi redditizi per gli autori malintenzionati, offrendo loro ampie opportunità di attacco.

È necessario che i proprietari dei siti Web aggiornino regolarmente il software e i plug-in CMS, mantengano pratiche di password complesse e conducano controlli periodici per rilevare eventuali account amministratore sospetti.

Le vittime di uno skimmer potrebbero subire gravi conseguenze

Gli skimmer web delle carte di credito, noti anche come attacchi Magecart o skimming digitale, possono avere gravi conseguenze sia per i consumatori che per le aziende:

• Perdite finanziarie : gli skimmer raccolgono i dettagli delle carte di credito immessi su siti Web compromessi. Queste informazioni vengono quindi utilizzate per transazioni fraudolente, che portano a perdite finanziarie dirette per le persone interessate.
• Furto d'identità : i dati raccolti sulle carte di credito possono essere utilizzati per scopi di furto d'identità, inclusa l'apertura di nuovi conti o l'effettuazione di acquisti non autorizzati a nome della vittima.
• Danni alla reputazione aziendale : le aziende che subiscono un attacco di scrematura possono subire danni alla reputazione e perdita di fiducia da parte dei clienti. I consumatori potrebbero evitare di fare acquisti su siti Web che hanno subito violazioni della sicurezza.
• Sanzioni normative : a seconda della giurisdizione, le aziende possono essere multate e ricevere sanzioni per non aver protetto adeguatamente i dati dei clienti. Anche il rispetto delle normative sulla protezione dei dati come GDPR o CCPA potrebbe essere compromesso.
• Interruzione operativa : mitigare gli effetti di un attacco di scrematura richiede risorse e tempo significativi. Le aziende potrebbero dover chiudere temporaneamente i propri siti Web o servizi per indagare e porre rimedio alla violazione, con conseguenti interruzioni operative e ripercussioni finanziarie.
• Impatto a lungo termine sui ricavi : anche dopo aver mitigato un attacco di skimming, le aziende potrebbero riscontrare una riduzione del traffico di clienti e delle vendite a seguito della violazione. Ripristinare la fiducia dei clienti e ricostruire una reputazione positiva può essere una sfida a lungo termine.

In sintesi, gli skimmer Web delle carte di credito comportano rischi significativi sia per i consumatori che per le imprese, incidendo sulla stabilità finanziaria, sull’affidabilità e sulla conformità normativa. Misure preventive, come controlli di sicurezza regolari, solide pratiche di crittografia e aggiornamenti tempestivi del software, sono essenziali per mitigare questi rischi e proteggersi da attività non sicure.