В 300+ интернет-магазинах найден веб-скиммер, спрятанный в GTM-контейнер

Хакеры, ворующие платежные данные с помощью веб-скиммеров, начали использовать Google Tag Manager (GTM) для сокрытия своего JavaScript-кода. За девять месяцев исследователи из Gemini Advisory (собственность Recorded Future) обнаружили вредоносные GTM-контейнеры на 316 коммерческих сайтах — в основном небольших.

Менеджер тегов от Google позволяет создавать контейнеры для ресурсов, что облегчает обновление кодов, подключение сервисов и добавление скриптов на сайт (например, с целью сбора аналитики или показа рекламы). В данном случае злоумышленники создают собственный контейнер GTM с вредоносным содержимым и незаметно загружают его на взломанный сайт, а соответствующий тег script внедряют в целевые страницы.

Такая тактика позволяет месяцами скрывать работающий веб-скиммер, так как системы защиты веб-приложений (WAF) редко блокируют трафик, ассоциируемый с GTM, а вручную выловить вредоносный тег среди легитимных затруднительно.

Авторов текущих атак эксперты разделили на две группы — по способу использования GTM. Первая (впервые засветилась в марте) внедряет веб-скиммер непосредственно в контейнер, вторая (действует с мая) помещает его на удаленный сайт, а в контейнере прячет обфусцированный загрузчик.

Первая группа хакеров более активна, на ее долю приходится две трети взломов, зафиксированных Gemini. Домены, используемые ими для аккумуляции краденых данных, имитируют ресурсы Google (имена созданы с использованием тайпсквоттинга либо подмены TLD).

Вторая группировка использует домены двойного назначения — для хранения кода веб-скиммера и вывода краденых данных. За время наблюдений эти хакеры меняли свои хранилища шесть раз.

Обе группы атакуют различные платформы: Magento (в основном версии 2), WordPress, Shopify, BigCommerce. Сайты-жертвы — как правило, магазины с небольшим трафиком, меньше 50 тыс. посещений в месяц.

Краденые платежные данные впоследствии выставляются на продажу в даркнете. На одном из таких маркетплейсов исследователи обнаружили финансовую информацию 88 тыс. шоперов, похищенную в рамках текущей кампании.

Криминальные группировки, полагающиеся на веб-скиммеры (эксперты обычно объединяют их под общим именем Magecart), постоянно совершенствуют свои техники и тактики. Так, недавно одна из таких групп начала внедрять на серверы троянские программы удаленного доступа (CronRAT, NginRAT), позволяющие подключать скрипт для кражи платежных данных на лету.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 3

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля