Yeni bir Magecart kartı sıyırma kampanyası, çevrimiçi perakendecinin web sitelerinin 404 hata sayfasını taklit ederek müşterilerin kredi kartı bilgilerini çalmak için kötü amaçlı kodları gizler.
Bu teknik, Akamai Güvenlik İstihbarat Grubu araştırmacıları tarafından gözlemlenen üç varyanttan biridir, diğer ikisi HTML görüntü etiketinin 'onerror' özniteliğindeki kodu gizler ve meta piksel kodu snippeti olarak görünmesini sağlamak için bir görüntü ikili.
Akamai, kampanyanın Magento ve WooCommerce sitelerine odaklandığını ve bazı kurbanların gıda ve perakende sektörlerindeki ünlü kuruluşlarla bağlantılı olduğunu söyledi.
Tüm web sitelerinde, mevcut olmayan, taşınmış veya ölü/kırık bir bağlantısı olan bir web sayfasına erişirken ziyaretçilere görüntülenen 404 hata sayfası bulunur.
Magecart aktörleri, önceki kampanyalarda daha önce görülmeyen kötü amaçlı kart çalma kodunu gizlemek ve yüklemek için varsayılan '404 bulunamadı' sayfasından yararlanır.
Akamai'nin raporu, "Bu gizleme tekniği son derece yenilikçi ve önceki Magecart kampanyalarında görmediğimiz bir şey."
"Hedeflenen bir web sitesinin varsayılan 404 hata sayfasını manipüle etme fikri, Magecart aktörlerine iyileştirilmiş gizleme ve kaçak için çeşitli yaratıcı seçenekler sunabilir."
Skimmer yükleyici, kendisini bir meta piksel kodu snippeti olarak gizler veya tehlikeye atılan ödeme web sayfasında zaten bulunan rastgele satır içi komut dosyalarında gizler.
Yükleyici, 'simgeler' adlı göreceli bir yola bir getirme isteği başlatır, ancak bu yol web sitesinde bulunmadığından, istek "404 bulunamadı" hatasıyla sonuçlanır.
Akamai'nin araştırmacıları başlangıçta skimmerin artık aktif olmadığını veya Magecart grubunun bir yapılandırma hatası yaptığını varsaydılar. Bununla birlikte, daha yakından incelendikten sonra, yükleyicinin 404 sayfasının döndürülen HTML'sinde belirli bir dize arayan normal bir ifade eşleşmesi içerdiğini bulmuşlardır.
Dizeyi sayfadaki bulduktan sonra Akamai, bir yorumda gizlenmiş birleştirilmiş temel 64 kodlu dize buldu. Bu dizenin kodunu çözmek, 404 sayfanın hepsinde gizlenen JavaScript Skimmer'ı ortaya çıkardı.
Akamai, "Var olmayan yollara ek istekleri simüle ettik ve hepsi, kodlanmış kötü amaçlı kodla ilgili yorumu içeren aynı 404 hata sayfasını döndürdü."
Diyerek şöyle devam etti: "Bu kontroller, saldırganın tüm web sitesi için varsayılan hata sayfasını başarıyla değiştirdiğini ve içindeki kötü amaçlı kodu gizlediğini doğruladı!"
İstek birinci taraf bir yolda yapıldığından, ödeme sayfasındaki şüpheli ağ isteklerini izleyen çoğu güvenlik aracı bunu göz ardı edecektir.
Skimmer kodu, web sitesi ziyaretçilerinin kredi kartı numarası, son kullanma tarihi ve güvenlik kodları da dahil olmak üzere hassas ayrıntıları doldurmaları beklenen sahte bir form görüntüler.
Bu veriler sahte formda girildikten sonra, kurban sahte bir "oturum zaman aşımı" hatası alır.
Arka planda, tüm bilgiler base64 kodlanır ve diziyi sorgu parametresi olarak taşıyan bir görüntü isteği URL'si aracılığıyla saldırgana gönderilir.
Bu yaklaşım, istek iyi huylu bir görüntü getirme olayı gibi göründüğü için ağ trafik izleme araçları ile algılamadan kaçınmaya yardımcı olur. Ancak, Base64 dizesinin kodunun çözülmesi kişisel ve kredi kartı bilgilerini ortaya çıkarır.
404 sayfayı manipüle etme örneği, web yöneticisinin kötü amaçlı kodlarını tehlikeye atılmış web sitelerinde bulmasını ve sterilize etmeyi sürekli olarak zorlaştıran Magecart aktörlerinin gelişen taktiklerini ve çok yönlülüğünü vurgulamaktadır.
Air Europa Veri İhlali: Müşteriler kredi kartlarını iptal etmek için uyardı
Motel One, fidye yazılımı saldırısından sonra veri ihlalini açıklar
Otel bilgisayar korsanları, kartları çalmak için konukları sahte booking.com'a yönlendirir
Kaynak: Bleeping Computer