هکرها به طور فعال از آسیب پذیری برای تزریق یک اسکریپت مبهم به وب سایت های تجارت الکترونیکی مبتنی بر Magento استفاده می کنند. این بدافزار از طریق Google Tag Manager بارگیری می شود و به آنها امکان می دهد شماره های کارت اعتباری را هنگام مراجعه به مشتریان سرقت کنند. برای نگه داشتن کد در سایت و سرقت داده های کاربر از یک پشتی پنهان PHP استفاده می شود.
اسکیمر کارت اعتباری توسط محققان امنیتی در Sucuri کشف شد که توصیه می کنند این بدافزار از یک جدول پایگاه داده ، CMS_BLOCK.CONTENT بارگیری شده است. اسکریپت Google Tag Manager (GTM) در یک وب سایت طبیعی به نظر می رسد زیرا اسکریپت مخرب برای فرار از تشخیص کدگذاری شده است.
پس از فعال شدن بدافزار ، اطلاعات کارت اعتباری را از صفحه پرداخت تجارت الکترونیک Magento ضبط می کند و آن را به یک سرور خارجی که توسط یک هکر کنترل می شود ، ارسال می کند.
محققان امنیتی Sucuri همچنین یک پرونده PHP Backdoor را کشف کردند. پرونده های PHP “بلوک های ساختمانی” بسیاری از وب سایت های پویا ساخته شده بر روی سیستم عامل هایی مانند Magento ، WordPress ، Drupal و Joomla هستند. بنابراین ، یک فایل PHP بدافزار ، پس از تزریق ، می تواند در سیستم مدیریت محتوا فعالیت کند.
این پرونده PHP است که محققان شناسایی کردند:
./media/index.php.
با توجه به مشاوره منتشر شده در وب سایت Sucuri:
وی گفت: “در زمان نوشتن این مقاله ، ما دریافتیم که حداقل 6 وب سایت در حال حاضر به این شناسه خاص Google Tag Manager آلوده شده اند و این نشان می دهد که این تهدید به طور فعال بر چندین سایت تأثیر می گذارد.
Eurowebmonitortool (.) com در این کمپین مخرب استفاده می شود و در حال حاضر توسط 15 فروشنده امنیتی در ویروستوتال در لیست قرار می گیرد. “
virustotal.com یک سرویس امنیتی شلوغ است که اسکن فایل رایگان را ارائه می دهد و به عنوان جمع کننده اطلاعات عمل می کند.
Sucuri مراحل زیر را برای تمیز کردن یک وب سایت آلوده توصیه می کند:
- “هر برچسب GTM مشکوک را حذف کنید. وارد GTM شوید ، شناسایی کنید و هرگونه برچسب مشکوک را حذف کنید.
- برای شناسایی هرگونه بدافزار یا پشتی دیگر ، یک اسکن کامل وب سایت انجام دهید.
- هر اسکریپت مخرب یا پرونده های پشتی را حذف کنید.
- اطمینان حاصل کنید که Magento و تمام پسوندها با تکه های امنیتی به روز هستند.
- به طور مرتب ترافیک سایت و GTM را برای هرگونه فعالیت غیرمعمول کنترل کنید. “
مشاوره Sucuri را بخوانید:
Google Tag Manager Skimmer اطلاعات کارت اعتباری را از سایت Magento سرقت می کند
تصویر برجسته توسط Shutterstock/SDX15