Группировка Keeper взломала 570 интернет-магазинов

Рекомендуем почитать:

Xakep #254. Android: атака и защита

• Содержание выпуска
• Подписка на «Хакер»

Специалисты компании Gemini Advisory представили отчет о деятельности хакерской группировки Keeper, которая активна как минимум с 2017 года. Данная группа промышляет веб-скиммингом или атаками типа MageCart (названными так в честь первой группы хакеров, которая использовала эту тактику). То есть злоумышленники взламывают интернет-магазины и внедряют в их код вредоносные скрипты, которые воруют данные платежных карт, введенные покупателями при оформлении заказа.

Другие ИБ-компании отслеживают эту группировку под кодовыми названиями Magecart-группа № 8, CoffeeMokko и JS-Sniffers 4.

Исследователи из Gemini Advisory смогли разобраться в активности группы, так как хакеры использовали одинаковые панели управления для своих внутренних серверов, где собирали данные похищенных карт. Фингерпринтинг бэкэнд-панели помог специалистам проследить всю историю Keeper и обнаружить местоположение старых бэкэнд-панелей, URL-адреса инфраструктуры, а также составить список взломанных интернет-магазинов.

Сообщается, что примерно 85% всех взломанных группой магазинов работали на платформе Magento, и большинство из них относились к сегменту среднего и малого бизнеса. Согласно рейтингам Amazon и Alexa, подавляющее большинство пострадавших сайтов были совсем небольшими, но среди жертв Keeper было и несколько громких имен, то есть сайтов, которые привлекали от 500 000 до 1 000 000 посетителей в месяц:

Изучая инфраструктуру хак-группы, аналитики Gemini Advisory обнаружили, что хакеры не сумели должным образом защитить одну из своих бэкэнд-панелей, где собирали информацию о ворованных картах. Полученные экспертами логи содержали данные примерно 184 000 карт, похищенных в период с июля 2018 года по апрель 2019 года.

Учитывая, что всего за девять месяцев злоумышленники смогли украсть данные о 184 000 платежных картах, специалисты подсчитали, что за весь период активности, начиная с 2017 года, группировка скомпрометировала примерно 700 000 карт.

«Учитывая, что текущая медианная цена одной CNP-карты в даркнете равна 10 долларам США, за время своего существования данная группировка, вероятно, заработала более 7 000 000 долларов США, похищая и продавая информацию о платежных картах», — предполагают исследователи.

Полный список всех скомпрометированных Keeper сайтов можно найти в отчете компании.

Источник