Torna il gruppo MageCart: migliaia di attacchi per rubare carte di credito. Nel mirino i siti di e-commerce Magento. I cyber-criminali hanno inserito uno script in grado di copiare i dati di pagamento dei clienti.
Hanno colpito la bellezza di (almeno) 7.339 negozi di e-commerce nell’arco di sei mesi e sembrano non avere nessuna intenzione di fermarsi. Protagonista di questa offensiva su larga scala è MageCart, un gruppo di cyber-criminali specializzati in questo genere di operazioni e che avevano fatto parlare di sé in passato per aver colpito la piattaforma di vendita online Ticketmaster.
L’ondata di attacchi, individuata dal ricercatore di sicurezza olandese Willem de Groot, è stata portata con un componente chiamato MagentoCore.net, che l’analista definisce come uno skimmer software, in grado di registrare i dati di pagamento usati dagli utenti dei siti.
Considerato il numero di infezioni rilevate, è quindi probabile che i pirati informatici siano riusciti a mettere le mani su un numero impressionante di dati di carte di credito.
MagentoCore.net è un JavaScript che viene inserito all’interno delle pagine e funziona come un keylogger: registra tutto ciò che viene digitato dai visitatori del sito e spedisce le informazioni a un server posizionato a Mosca.
Secondo il ricercatore (qui il suo report) i siti vengono violati attraverso varie tecniche che fanno leva su vulnerabilità dei siti o su impostazioni inappropriate come l’uso di password troppo semplici che vengono violate con un semplice Brute Forcing.
Il gruppo MageCart, una volta ottenuto l’accesso, infetta i siti con il malware, che tra i suoi compiti ha anche quello di creare una backdoor attraverso la quale i cyber-criminali possono intervenire nel caso in cui lo script sia rimosso.
Non solo: all’interno di MagentoCore.net c’è anche uno strumento di “pulizia” che rimuove eventuali malware concorrenti e un sistema che modifica periodicamente la password di numero di account (l’elenco dei nomi è conservato nel codice del malware stesso) in modo che sia convertita in how1are2you3. Un metodo semplice (ma efficace) per garantirsi un accesso a tempo indeterminato ai server.
Lascia un commento