Plataforma de e-commerce Magento voltada para código sneaky

Os invasores estão usando um método sorrateiro para roubar dados de cartões de pagamento de sites usando Magento, a plataforma de e-commerce amplamente utilizada do eBay. Pesquisadores da Sucuri, empresa especializada em proteger sites, disseram que os invasores podem coletar quaisquer dados enviados por um site. O atacante está injetando seu código malicioso no Magento, mas ainda não está claro como esse processo acontece, escreveu Peter Gramantik, um pesquisador sênior de malware da Sucuri.

[Leitura adicional: Como remover malwares do seu PC com Windows]

“Parece, no entanto, que o invasor está explorando uma vulnerabilidade no núcleo do Magento ou em algum módulo / extensão amplamente utilizado”, escreveu ele.

Solicitações de POST e coletado, mas existem regras dentro do script de ataque que apenas coleta informações do cartão de pagamento.

“Se a estrutura dos parâmetros POST for igual, o atacante armazena todos eles - nada mais, nada menos”, escreveu Gramantik. “Eles têm todos os detalhes do faturamento processados ​​pelo site infectado.”

Os dados roubados são criptografados usando uma chave de criptografia pública incluída no script malicioso. Em seguida, ele é salvo em um arquivo de imagem falso.

Se alguém tentasse carregar a imagem, ela não seria exibida, ele escreveu. Mas o invasor pode baixar e descriptografar o arquivo de imagem falso, revelando os detalhes do cartão de pagamento.

“Agora eles têm todas as informações de faturamento processadas pelo site de comércio eletrônico Magento”, escreveu ele. "É tudo muito bem embalado, formatado e coletado."

O Ebay não pôde ser imediatamente encontrado para comentar.

A Sucuri também encontrou um exemplo de uma maneira menos sofisticada, mas não menos eficaz, de roubar dados do Magento.

Nesse exemplo, o código de ataque é injetado no módulo de check-out do Magento. Ele coleta dados do cartão de pagamento antes que uma transação seja processada. Os dados são enviados por e-mail em texto simples para a conta do invasor.

Aqueles que estão por trás do método parecem estar intimamente familiarizados com o funcionamento do Magento, escreveu Gramantik. “O atacante sabe como o módulo funciona e o código é construído; tudo o que ele precisava fazer era usar a própria variável do módulo, na qual todos os dados confidenciais são armazenados desprotegidos. ”

A Sucuri já viu variações desse ataque antes. Em abril, Denis Sinegubko, da Sucuri, descreveu onde os hackers enxergam oportunidades no Magneto. A maioria dos sites que usam a plataforma tem um formulário onde os clientes inserem os detalhes do cartão de crédito.

O Magento então criptografa esses dados e os salva ou envia para um gateway de pagamento para completar a transação, mas há “um período muito curto de quando o Magento lida com informações confidenciais de clientes em um formato não criptografado ”, escreveu Sinegubko em um post no blog.

Sinegubko escreveu que é um bom método, a menos que os hackers encontrem uma maneira de obter as informações antes de serem criptografadas.