Зловреден код в img тагове: Нова заплаха за онлайн плащанията

Изследователите от компанията за киберсигурност Sucuri са открили нова кампания за кражба на данни от кредитни карти, насочена към онлайн магазини, използващи платформата Magento. Нападателите скриват зловреден код в HTML маркиране, маскирайки го като изображения, за да останат незабелязани.

MageCart е името на група зловреден софтуер, който краде данни за плащане от онлайн платформи. За да направят това, нападателите използват различни методи за хакване, както от страна на клиента, така и от страна на сървъра, за да въведат скрити скимери в страниците за плащане. Често зловреден код се активира на етапа на плащане, като замества формуляра за въвеждане или прихваща данни, въведени от потребителите в реално време.

Името MageCart се отнася до първоначалната цел на атаките, платформата Magento, която предоставя функционалност за количка за пазаруване и плащане. С течение на времето нападателите са усъвършенствали тактиката си, скривайки злонамерени скриптове във фалшиви изображения, аудио файлове, икони и дори страници с 404 грешки.

Новата атака е особено прикрита: злонамереният код е вграден в img таг в HTML страница. Изследователите отбелязват, че този метод позволява да се избегне вниманието на системите за сигурност. Тъй като изображенията често съдържат дълги низове, като файлови пътища или кодирани данни, наличието на скрит код не буди подозрение.

Основният трик е използването на събитието „onerror“. Обикновено браузърът го използва, ако изображението не успее да се зареди, но в този случай се използва за изпълнение на JavaScript код. По този начин браузърът третира инжектирания скрипт като част от стандартния механизъм за обработка на грешки.

Веднъж активиран, злонамереният код проверява дали страницата за плащане е отворена и когато потребителят щракне върху бутона за потвърждение на плащането, изпраща данните към отдалечен сървър. Фалшивият формуляр изисква номера на картата, датата на изтичане и CVV кода и след това ги предава на нападателите чрез ресурса „wellfacing[.]com“.

Експертите отбелязват, че атаката е не само скрита, но и много ефективна. Киберпрестъпниците постигат две цели наведнъж: заобикалят скенерите за сигурност благодарение на прикриването в таговете и минимизират вероятността за откриване от потребителите, тъй като фалшивият формуляр изглежда легитимен.

Атаките срещу платформи като Magento, WooCommerce и PrestaShop продължават да се развиват и стават все по-сложни. Злонамерените скриптове често са криптирани и използват нестандартни методи за прикриване. Подобни заплахи показват колко креативни стават киберпрестъпниците и подчертават важността на постоянното наблюдение на сигурността на онлайн магазините.