Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Magecart Group 12, è noto per aver svolto attacchi di skimming per rubare informazioni di pagamento dagli acquirenti su oltre 2000 siti di ecommerce nel 2020. Ora i ricercatori hanno pubblicato un rapporto che spiega come lo hanno fatto, descrivendo un nuovo approccio tecnico.
Il gruppo che ruba le carte di credito utilizza shell web PHP per ottenere l’accesso amministrativo remoto ai siti sotto attacco per rubare i dati delle carte di credito, piuttosto che utilizzare il loro codice JavaScript come in precedenza, che iniettavano nei siti vulnerabili per registrare le informazioni inserite dagli utenti nelle operazioni di checkout online, secondo il Threat Intelligence Team di Malwarebytes Labs.
Magecart 12, l’ultima incarnazione del gruppo web skimmer, continua a lanciare attacchi con malware per imitare una favicon, nota anche come “icona preferita” o “icona di collegamento”, ovvero quella che trovate accanto al dominio del sito che state vedendo.
Esempio di favicon, tratto da wikipedia
Il file denominato “Magento.png” tenta di passare se stesso come immagine/png ma non ha il formato .PNG appropriato per un file immagine valido, afferma il rapporto. Il modo in cui viene iniettato nei siti compromessi consiste nel sostituire i tag dell’icona di collegamento legittimo con un percorso al file .PNG falso.
Ma in questo caso, la favicon fasulla viene utilizzata per caricare una shell web PHP.
La shell web è più difficile da rilevare e bloccare, aggiunge il report, perché inietta il codice skimmer sul server, piuttosto che sul lato client.
Un approccio più efficace, ma anche più complesso e incline a falsi positivi, consiste nell’ispezionare il DOM in tempo reale e rilevare quando è stato caricato codice dannoso.
DOM è l’abbreviazione di Document Object Model, che è un’API per documenti HTML e XML.
Nonostante il cambiamento, il gruppo mira ancora a raggiungere lo stesso obiettivo: iniettare malware per lo skimming per rubare i dettagli delle carte di pagamento dei clienti.
“Gli attacchi di digital skimming o e-skimming sono una fonte di guadagno redditizia per i criminali informatici, poiché i numeri delle carte di credito rubate valgono milioni di dollari sul Dark Web”
ha dichiarato Avishai Shafir di PerimeterX via e-mail.
Magecart continua ad evolvere le sue tattiche. Il mese scorso, i ricercatori di Sucuri hanno scoperto che gli aggressori di Magecart stavano salvando i dati delle loro carte di credito nei file .JPG fino a quando non potevano essere esfiltrati da siti di e-commerce compromessi che eseguivano Magento 2.
“L’uso creativo del falso .JPG consente a un utente malintenzionato di nascondere e archiviare i dettagli delle carte di credito raccolte per un utilizzo futuro senza ottenere troppa attenzione da parte del proprietario del sito Web”
ha scritto Luke Leal di Sucuri in merito alla scoperta, a marzo.
Ed inoltre questi dati, sono scaricabili dal server web senza alcun problema di rilevamento da parte dei sistemi di protezione perimetrale.
Fonte
https://threatpost.com/magecart-server-side-itactics-changeup/166242/
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
L’Open Source Intelligence (OSINT) è emersa, negli ultimi anni, come una delle discipline più affascinanti, ma anche più insidiose, nel panorama dell’informazione e della sicurezza. La sua esse...
La psicologia delle password parte proprio da qui: cercare di capire le persone prima dei sistemi. Benvenuti in “La mente dietro le password”, la rubrica che guarda alla cybersecurityda un’angol...
Le estensioni del browser sono da tempo un modo comune per velocizzare il lavoro e aggiungere funzionalità utili, ma un altro caso dimostra con quanta facilità questo comodo strumento possa trasform...
Una nuova versione, la 8.8.9, del noto editor di testo Notepad++, è stata distribuita dagli sviluppatori, risolvendo una criticità nel sistema di aggiornamento automatico. Questo problema è venuto ...
Questa non è la classica violazione fatta di password rubate e carte di credito clonate.È qualcosa di molto più delicato. Il data breach che ha coinvolto Pornhub nel dicembre 2025 rappresenta uno d...
