WordPress Skimmers Evade Detecção Injetando-se em Tabelas de Banco de Dados

Pesquisadores de segurança cibernética estão alertando para um novo furtivo campanha skimmer cartão de crédito que tem como alvo as páginas de checkout de e-commerce do WordPress, inserindo código JavaScript malicioso em uma tabela de banco de dados associada ao sistema de gerenciamento de conteúdo (CMS).

“Este malware skimmer de cartão de crédito direcionado a sites WordPress injeta silenciosamente JavaScript malicioso em entradas de banco de dados para roubar detalhes de pagamento confidenciais”, disse Puja Srivastava, pesquisador da Sucuri disse em uma nova análise.

“O malware é ativado especificamente nas páginas de checkout, seja sequestrando campos de pagamento existentes ou injetando um formulário de cartão de crédito falso.”

A empresa de segurança de sites da GoDaddy disse que descobriu o malware incorporado ao WordPress tabela wp_options com a opção “widget_block”, permitindo assim evitar a detecção por ferramentas de digitalização e persistir em sites comprometidos sem atrair a atenção.

Ao fazer isso, a ideia é inserir o JavaScript malicioso em um widget de bloco HTML através do painel de administração do WordPress (wp-admin > widgets).

O código JavaScript funciona verificando se a página atual é uma página de checkout e garante que ela entra em ação somente depois que o visitante do site está prestes a inserir seus detalhes de pagamento, momento em que ele cria dinamicamente uma tela de pagamento falsa que imita processadores de pagamento legítimos como o Stripe.

O formulário é projetado para capturar os números de cartão de crédito dos usuários, datas de validade, números CVV e informações de faturamento. Alternativamente, o script desonesto também é capaz de capturar dados inseridos em telas de pagamento legítimas em tempo real para maximizar a compatibilidade.

Os dados roubados são posteriormente codificados em Base64 e combinados com criptografia AES-CBC para torná-los inofensivos e resistir a tentativas de análise. No estágio final, ele é transmitido para um servidor controlado por um invasor (“valhafather[.]xyz” ou “fqbe23[.]xyz”).

O desenvolvimento vem mais de um mês depois da Sucuri destacado uma campanha semelhante que aproveitou o malware JavaScript para criar dinamicamente formulários de cartão de crédito falsos ou extrair dados inseridos em campos de pagamento nas páginas de checkout.

A informação colhida é então submetida a três camadas de ofuscação codificando-a primeiro como JSON, XOR-criptografando-a com a chave “script”, e finalmente usando a codificação Base64, antes da exfiltração para um servidor remoto (“staticfonts[.]com”).

“O script é projetado para extrair informações confidenciais de cartão de crédito de campos específicos na página de checkout”, observou Srivastava. “Em seguida, o malware coleta dados adicionais do usuário por meio das APIs do Magento, incluindo o nome, endereço, e-mail, número de telefone e outras informações de faturamento do usuário. Esses dados são recuperados através dos modelos de dados de clientes e cotações da Magento.”

A divulgação também segue a descoberta de uma campanha de e-mail de phishing motivada financeiramente que engana os destinatários a clicar nas páginas de login do PayPal sob o disfarce de uma solicitação de pagamento pendente ao som de quase $2.200.

“O golpista parece ter simplesmente registrado um domínio de teste do Microsoft 365, que é gratuito por três meses, e então criou uma lista de distribuição (Billingdepartments1[@]gkjyryfjy876.onmicrosoft.com) contendo e-mails de vítimas”, Carl Windsor, do Fortinet FortiGuard Labs disse. “No portal da Web do PayPal, eles simplesmente solicitam o dinheiro e adicionam a lista de distribuição como endereço.”

O que torna a campanha sorrateira é o fato de que as mensagens são originárias de um endereço legítimo do PayPal (service@paypal.com) e contêm um URL de login genuíno, que permite que os e-mails passem pelas ferramentas de segurança.

Para piorar a situação, assim que a vítima tenta fazer login em sua conta do PayPal sobre a solicitação de pagamento, sua conta é automaticamente vinculada ao endereço de e-mail da lista de distribuição, permitindo que o agente de ameaças sequestre o controle da conta.

Nas últimas semanas, atores maliciosos também foram observados aproveitando uma nova técnica chamada simulação de transação para roubar criptomoedas das carteiras das vítimas.

“As carteiras Web3 modernas incorporam a simulação de transações como um recurso fácil de usar”, Scam Sniffer disse. “Esse recurso permite que os usuários visualizem o resultado esperado de suas transações antes de assiná-las. Embora projetados para melhorar a transparência e a experiência do usuário, os invasores encontraram maneiras de explorar esse mecanismo.”

As cadeias de infecção envolvem aproveitar o intervalo de tempo entre a simulação e a execução da transação, permitindo que os invasores configurem sites falsos que imitam aplicativos descentralizados (DApps) para realizar ataques fraudulentos de drenagem de carteiras.

“Este novo vetor de ataque representa uma evolução significativa nas técnicas de phishing”, disse o provedor de soluções anti-scam da Web3. “Em vez de confiar em um simples engano, os invasores agora estão explorando recursos confiáveis de carteira nos quais os usuários confiam para segurança. Esta abordagem sofisticada torna a detecção particularmente desafiadora.”

Fonte: https://thehackernews.com/