Веб-скиммеры прячутся в метаданных изображений

Рекомендуем почитать:

Xakep #254. Android: атака и защита

• Содержание выпуска
• Подписка на «Хакер»-30%

Специалисты Malwarebytes обнаружили, что MageCart-хакеры используют своеобразную стеганографию, прячут веб-скиммеры в метаданных изображений EXIF, а также используют картинки для извлечения украденных данных.

Напомню, что изначально название MageCart было присвоено одной хак-группе, которая первой начала использовать так называемые веб-скиммеры на сайтах для хищения данных банковских карт. Хакеры взламывают сайты, а затем внедряют на их страницы вредоносный код, который записывает и похищает данные платежных карт, когда пользователи вводят их во время оформления заказа.

Этот подход оказался настолько успешным, что у группировки вскоре появились многочисленные подражатели, а название MageCart стало нарицательным, и теперь им обозначают целый класс подобных атак. И если в 2018 году исследователи RiskIQ идентифицировали 12 таких группировок, то в конце 2019 года, по данным IBM, их насчитывалось уже около 40.

Напомню, что недавно специалисты Malwarebytes уже рассказывали MageCart-кампании, для осуществления которой хак-группа создала вредоносный сайт для размещения favicon и маскировки вредоносного кода. Новый отчет экспертов рассказывает о похожей вредоносной активности.

В открытом каталоге неназванного скомпрометированного сайта исследователям удалось обнаружить копию исходных кодов набора для скимминга, что позволило почерпнуть много новой информации и заметить, что обычный файл favicon.ico содержит внедренный скрипт внутри поля Copyright.

По словам экспертов, атака злоумышленников строится следующим образом: веб-скиммер был найден в метаданных EXIF-​файла, который загружался взломанными интернет-магазинами с плагином WooCommerce для WordPress на борту. Посторонний код для загрузки опасного изображения добавлялся к легитимному скрипту, размещенному на сайтах самими владельцами магазинов.

Вредоносную активность удалось проследить до сайта cddn[.]site, с которого загружался вредоносный файл favicon. Как оказалось, злоумышленники использовали favicon, идентичные настоящим в скомпрометированных магазинах, а веб-скиммер подгружался из поля Copyright в метаданных изображения при помощи тега <img>.

Как не трудно догадаться, этот веб-скиммер, как и другая подобная малварь, похищал содержимое полей ввода, куда покупатели вписывали свое имя, биллинг-адрес, данные кредитной карты и так далее. Когда информация собрана, скиммер шифровал собранные данные, переворачивал строку и через POST-запрос передавал похищенную информацию на удаленный сервер своим операторам тоже в виде файла изображения. Очевидно, злоумышленники решили быть последовательными и использовали картинки для сокрытия данных на всех этапах атаки.

Эксперты Malwarebytes также смогли обнаружить раннюю версию этого скиммера, в которой не было обфускации, присущей новейшей итерации. В целом эта версия имела те же функции, но изучение поведения обеих вариаций малвари позволило сделать вывод, что данная разработка может принадлежать MageCart-группировке номер 9.

Источник