Caesar Cipher Skimmer

Vários Sistemas de Gerenciamento de Conteúdo (CMS) amplamente utilizados, como Magento, WordPress e OpenCart, encontraram recentemente um novo skimmer de cartão de crédito na Web conhecido como Caesar Cipher Skimmer. Este malware se infiltra em sites de comércio eletrônico com a intenção de coletar secretamente detalhes financeiros e de pagamento.

A campanha de ataque teve como alvo específico o plugin WooCommerce para WordPress, onde manipulou o arquivo PHP ‘form-checkout.php’ para extrair informações de cartão de crédito. Os pesquisadores que supervisionam a situação notaram que o código injetado foi alterado para reduzir sua visibilidade, minimizando a ofuscação do script.

O Caesar Cipher Skimmer pode ser Implantado em Sites Previamente Comprometidos

Especificamente, ele utiliza o mesmo mecanismo de substituição empregado na cifra de César para codificar o trecho de código ameaçador em uma string ilegível e ocultar o domínio externo usado para hospedar a carga útil. Presume-se que todos os sites foram previamente comprometidos por outros meios para preparar um script PHP chamado 'style.css' e 'css.php', em um aparente esforço para imitar uma folha de estilo HTML e evitar a detecção.

Esses scripts, por sua vez, são projetados para carregar outro código JavaScript ofuscado que cria um WebSocket e se conecta a outro servidor para buscar o skimmer real.

O script envia a URL das páginas da web atuais, o que permite aos invasores enviar respostas personalizadas para cada site infectado. Algumas versões do script de segunda camada verificam até mesmo se ele foi carregado por um usuário logado do WordPress e modificam a resposta para ele.

Os Operadores do Caesar Cipher Skimmer são Provavelmente Russos

Algumas versões do script contêm comentários escritos em russo, indicando que os atores da ameaça por trás da operação podem falar russo.

O ataque não depende apenas da modificação do arquivo ‘form-checkout.php’ no WooCommerce; os invasores também exploraram o plugin WPCode legítimo para injetar o skimmer em bancos de dados de sites.

Em sites baseados em Magento, as injeções de JavaScript são encontradas em tabelas de banco de dados como core_config_data. O método usado para sites OpenCart permanece desconhecido no momento. Devido à sua ampla adoção como plataforma de website, o WordPress e seu extenso ecossistema de plug-ins tornaram-se alvos lucrativos para atores mal-intencionados, proporcionando-lhes amplas oportunidades de ataques.

É necessário que os proprietários de sites atualizem regularmente seu software e plug-ins CMS, mantenham práticas de senhas fortes e conduzam auditorias periódicas para detectar quaisquer contas de administrador suspeitas.

As Vítimas de um Skimmer podem Sofrer Consequências Graves

Os skimmers de cartão de crédito, também conhecidos como ataques Magecart ou skimming digital, podem ter consequências graves para consumidores e empresas:

• Perdas financeiras : Os skimmers coletam detalhes de cartão de crédito inseridos em sites comprometidos. Essas informações são então usadas para transações fraudulentas, levando a perdas financeiras diretas para os indivíduos afetados.
• Roubo de identidade : As informações coletadas do cartão de crédito podem ser usadas para fins de roubo de identidade, incluindo a abertura de novas contas ou a realização de compras não autorizadas em nome da vítima.
• Danos à reputação empresarial : As empresas que sofrem um ataque de skimming podem enfrentar danos à sua reputação e perda de confiança do cliente. Os consumidores podem evitar fazer compras em sites que sofreram violações de segurança.
• Penalidades regulatórias : Dependendo da jurisdição, as empresas podem ser multadas e receber penalidades por não protegerem adequadamente os dados dos clientes. A submissão a regulamentos de proteção de dados, como GDPR ou CCPA, também pode ser comprometida.
• Interrupção operacional : Mitigar os efeitos de um ataque de skimming requer recursos e tempo significativos. As empresas poderão ter de encerrar temporariamente os seus websites ou serviços para investigar e remediar a violação, levando a perturbações operacionais e impacto financeiro.
• Impacto de longo prazo na receita : Mesmo depois de mitigar um ataque de skimming, as empresas podem sofrer redução no tráfego de clientes e nas vendas como resultado da violação. Restaurar a confiança do cliente e reconstruir uma reputação positiva pode ser um desafio a longo prazo.

Em resumo, os skimmers Web de cartões de crédito representam riscos significativos tanto para os consumidores como para as empresas, afetando a estabilidade financeira, a fiabilidade e a conformidade regulamentar. Medidas preventivas, como auditorias regulares de segurança, práticas robustas de criptografia e atualizações imediatas de software, são essenciais para mitigar esses riscos e proteger contra essas atividades inseguras.