Lil' Skim Skimmer
Details over een skimmer-dreiging die al meer dan een jaar grotendeels onder de radar kon blijven, zijn onthuld in een nieuw rapport. Met de naam Lil' Skim lijkt de skimmer-dreiging een meer rechttoe rechtaan en eenvoudigere versie van de typische Magecart-skimmervarianten te zijn . Om detectie te belemmeren terwijl het actief is en het verzamelen van creditcard-/betaalkaartgegevens van gebruikers die winkelen op de gecompromitteerde pagina's, verdubbelt Lil' Skim de tactiek van het imiteren van legitieme entiteiten.
De exploitanten van de dreiging hebben talloze skimmer-domeinen gecreëerd waarvan de namen sterk lijken op die van de legitieme maar gecompromitteerde sites. De cybercriminelen hebben eenvoudigweg de normale domeinnaam op het hoogste niveau vervangen door '.site', '.website' of '.pw.' De nieuw aangemaakte hosts starten vervolgens de skimmercode en krijgen toegang tot de gestolen betalingsgegevens van de gebruikers. Enkele voorbeelden zijn gorillawhips.com en de imitatiesite op gorillawhips.site, evenals dogdug.com en zijn copycat op dogdug.website. Alle door infosec-onderzoekers ontdekte domeinen werden gehost op 87.236.16[.]107.
Verbergen tussen andere bedreigingen
Een andere veel voorkomende techniek die vaak wordt gebruikt door skimmer-operators, is het nabootsen van legitieme merken zoals Google, jQuery en anderen. Lil' Skim is geen uitzondering en verschillende van zijn domeinen zijn vernoemd naar Google. In een ander geval imiteerden skimmer-operators de tidio.com-chattoepassing door de naam tidio[.]fun te gebruiken.
Er moet ook worden opgemerkt dat de cybercriminelen achter Lil' Skim hun skimmer-domeinen in een autonoom systeem hebben geplaatst dat ook een aanzienlijk aantal beschadigde hosts bevat die verband houden met andere malwarebedreigingen, zoals phishing-kits, Android-payloads en Windows-malware. Slechts twee IP-adressen - 87.236.16[.]10 en de eerder genoemde 87.236.16[.]107, bleken extra domeinen te hosten die deel uitmaken van de Lil' Skim-operatie.
