Caesar Cipher Skimmer

Mai multe sisteme de gestionare a conținutului (CMS) utilizate pe scară largă, cum ar fi Magento, WordPress și OpenCart, au întâlnit recent un nou skimmer web pentru carduri de credit, cunoscut sub numele de Caesar Cipher Skimmer. Acest malware infiltrează site-urile de comerț electronic cu intenția de a colecta în secret detalii financiare și de plată.

Campania de atac a vizat în mod special pluginul WooCommerce pentru WordPress, unde a manipulat fișierul PHP „form-checkout.php” pentru a extrage informații despre cardul de credit. Cercetătorii care supraveghează situația au observat că codul injectat a fost modificat pentru a-i reduce vizibilitatea, reducând la minimum înfundarea scriptului.

Skimmer-ul Caesar Cipher poate fi instalat pe site-uri compromise anterior

Mai exact, folosește același mecanism de substituție folosit în cifrul Caesar pentru a codifica fragmentul de cod amenințător într-un șir deformat și pentru a ascunde domeniul extern care este folosit pentru a găzdui încărcătura utilă. Se presupune că toate site-urile web au fost compromise anterior prin alte mijloace pentru a realiza un script PHP care poartă numele „style.css” și „css.php” într-un efort aparent de a imita o foaie de stil HTML și de a evita detectarea.

Aceste scripturi, la rândul lor, sunt concepute pentru a încărca un alt cod JavaScript ofuscat care creează un WebSocket și se conectează la un alt server pentru a prelua skimmer-ul propriu-zis.

Scriptul trimite adresa URL a paginilor web curente, ceea ce permite atacatorilor să trimită răspunsuri personalizate pentru fiecare site infectat. Unele versiuni ale scriptului al doilea strat verifică chiar dacă este încărcat de un utilizator WordPress conectat și modifică răspunsul pentru ele.

Operatorii skimmer-ului Caesar Cipher sunt probabil ruși

Unele versiuni ale scenariului conțin comentarii scrise în limba rusă, care indică faptul că actorii amenințărilor din spatele operațiunii pot fi vorbitori de limbă rusă.

Atacul nu se bazează doar pe modificarea fișierului „form-checkout.php” în WooCommerce; atacatorii au exploatat, de asemenea, pluginul legitim WPCode pentru a injecta skimmer-ul în bazele de date ale site-urilor web.

În site-urile web bazate pe Magento, injecțiile JavaScript se găsesc în tabele de baze de date precum core_config_data. Metoda folosită pentru site-urile OpenCart rămâne necunoscută în acest moment. Datorită adoptării pe scară largă ca platformă de site web, WordPress și ecosistemul său extins de plugin-uri au devenit ținte profitabile pentru actorii rău intenționați, oferindu-le oportunități ample de atacuri.

Este necesar ca proprietarii de site-uri web să-și actualizeze în mod regulat software-ul și pluginurile CMS, să mențină practici de parole puternice și să efectueze audituri periodice pentru a detecta orice conturi de administrator suspecte.

Victimele unui skimmer ar putea suporta consecințe grave

Skimmer-urile pentru carduri de credit, cunoscute și sub numele de atacuri Magecart sau skimming digital, pot avea consecințe grave atât pentru consumatori, cât și pentru companii:

• Pierderi financiare : Skimmers recoltează detaliile cardului de credit introduse pe site-uri web compromise. Aceste informații sunt apoi utilizate pentru tranzacții frauduloase, ceea ce duce la pierderi financiare directe pentru persoanele afectate.
• Furtul de identitate : informațiile colectate ale cardului de credit pot fi folosite în scopuri de furt de identitate, inclusiv deschiderea de noi conturi sau efectuarea de achiziții neautorizate în numele victimei.
• Daune aduse reputației afacerilor : companiile care suferă un atac de skimming se pot confrunta cu deteriorarea reputației lor și pierderea încrederii clienților. Consumatorii pot evita cumpărăturile pe site-uri web care au suferit încălcări de securitate.
• Sancțiuni de reglementare : în funcție de jurisdicție, companiile pot fi amendate și pot primi penalități pentru că nu protejează în mod adecvat datele clienților. Supunerea la reglementările privind protecția datelor, cum ar fi GDPR sau CCPA, poate fi, de asemenea, compromisă.
• Perturbare operațională : atenuarea efectelor unui atac de skimming necesită resurse și timp semnificative. Este posibil ca întreprinderile să fie nevoite să-și închidă temporar site-urile web sau serviciile pentru a investiga și a remedia încălcarea, ceea ce duce la întreruperi operaționale și la impact financiar.
• Impact pe termen lung asupra veniturilor : chiar și după atenuarea unui atac de skimming, companiile pot experimenta trafic și vânzări reduse ca urmare a încălcării. Restabilirea încrederii clienților și reconstruirea unei reputații pozitive poate fi o provocare pe termen lung.

În rezumat, skimmer-urile Web pentru cărți de credit prezintă riscuri semnificative atât pentru consumatori, cât și pentru întreprinderi, având un impact asupra stabilității financiare, a fiabilității și a conformității cu reglementările. Măsurile preventive, cum ar fi audituri regulate de securitate, practici solide de criptare și actualizări prompte de software, sunt esențiale pentru a atenua aceste riscuri și pentru a proteja împotriva unor astfel de activități nesigure.