Четири JavaScript-сниферa, които ви дебнат в интернет магазините

Практически все от нас използват услугите на онлайн магазини, което означава, че рано или късно рискуват да станат жертви на JavaScript-сниффери — специален код, който злонамерени лица внедряват на сайта за кражба на данни от банкови карти, адреси, потребителски имена и пароли.

От снифферите вече са пострадали почти 400 000 потребители на сайта и мобилното приложение на авиокомпанията British Airways, както и посетители на британския сайт на спортния гигант FILA и американския дистрибутор на билети Ticketmaster. PayPal, Chase Paymenttech, USAePay, Moneris — тези и много други платежни системи бяха компрометирани.

Аналитикът от Threat Intelligence Group-IB Виктор Окороков разказва как снифферите внедряват код в сайта и крадат платежна информация, както и кои CRM системи атакуват.

«Скритата заплаха»

Така се случи, че дълго време JS-снифферите остават извън полето на зрения на антивирусните анализатори, а банките и платежните системи не ги смятат за сериозна заплаха. И напълно напразно. Експертите от Group-IB анализираха 2440 компрометирани онлайн магазина, посетителите на които — общо около 1,5 милиона души на ден — бяха изложени на риск от компрометиране. Сред пострадалите са не само потребителите, но и онлайн магазините, платежните системи и банките, които издават компрометирани карти.

Доклад Group-IB стана първата институция, която изследва тъмен пазар на сниффери, тяхната инфраструктура и методи на монетизация, носещи на създателите милиони долари. Идентифицирахме 38 семейства на сниффери, от които само 12 бяха известни на изследователите.

Нека подробно разгледаме четири семейства сниффери, изучавани по време на изследването.

Семейство ReactGet

Снифферите от семейството ReactGet се използват за кражба на данни за банкови карти на сайтовете на онлайн магазини. Снифферът може да работи с множество различни платежни системи, използвани на сайта: едно значение на параметъра съответства на една платежна система, а отделни открити версии на сниффера могат да се използват за кражба на данни за вход, както и за кражба на данни за банкови карти от платежни форми на няколко платежни системи, както така наречения универсален сниффер. Установено е, че в някои случаи атакуващите извършват фишинг атаки срещу администратори на онлайн магазини с цел получаване на достъп до административната панел на сайта.

Кампанията с използването на това семейство сниффери стартира през май 2017 година, атакувани бяха сайтове, управлявани от CMS и платформи като Magento, Bigcommerce, Shopify.

Как ReactGet се внедрява в кода на онлайн магазина

Освен "класическото" внедряване на скрипт чрез линк, операторите на снифферите от семейството ReactGet използват специална техника: с помощта на JavaScript код се проверява дали текущият адрес, на който се намира потребителят, отговаря на определени критерии. Видоизменен код ще бъде изпълнен само в случай, че текущият URL адрес съдържа подстринг checkout или onestepcheckout, onepage/, out/onepag, checkout/one, ckout/one. По този начин, кодът на сниффера ще се изпълни точно в момента, когато потребителят премине към плащане на покупките и въведе платежната информация във формата на сайта.

Този сниффер използва нестандартна техника. Платежните и лични данни на жертвата се събират заедно, кодирани с помощта на base64, след което полученият низ се използва като параметър за изпращане на запитване към сайта на престъпниците. Най-често пътят до гейта имитира JavaScript файл, например resp.js, data.js и така нататък, но също така се използват линкове към изображения, GIF и JPG. Характеристиката е, че снифферът създава обект на изображение с размери 1 на 1 пиксел и използва получената по-рано връзка като параметър. src изображения. Тоест за потребителя такъв запитване в трафика ще изглежда като запитване за обикновена картинка. Подобна техника беше използвана в снифферите от семейството ImageID. Освен това, техниката с използване на изображение с размер 1 на 1 пиксел се използва в много легитимни скриптове за онлайн аналитика, което също може да заблуди потребителя.

Анализ на версиите

Анализът на активните домейни, използвани от операторите на снифферите ReactGet, позволи откритие на много различни версии на снифферите от това семейство. Версиите се различават по наличие или отсъствие на обфускация, а освен това, всеки сниффер е предназначен за определена платежна система, обработваща плащания с банкови карти за онлайн магазини. Преглеждайки стойността на параметъра, съответстващ на номера на версията, специалистите на Group-IB получиха пълен списък на наличните варианти на снифферите, а по имената на полетата на формите, които всеки сниффер търси в кода на страницата, определиха платежните системи, на които е насочен снифферът.

Списък на снифферите и съответстващите им платежни системи

Сниффер на пароли

Едно от предимствата на JavaScript-снифферите, работещи на клиентската страна на сайта, е универсалността: внедрен код на сайта може да открадне данни от всякакъв тип, независимо дали става въпрос за платежни данни или логин и парола на потребителски акаунт. Специалистите на Group-IB откриха образец на сниффер от семейството ReactGet, предназначен за кражба на имейл адреси и пароли на потребителите на сайта.

Пресечна точка със сниффера ImageID

При анализа на един от заразените магазини беше установено, че сайтът е бил заразен два пъти: освен вредоносния код на сниффера от семейството ReactGet, беше открит и код на сниффера от семейството ImageID. Тази пресечна точка може да бъде признак за това, че операторите, стоящи зад използването на двата сниффера, прилагат подобни техники за внедряване на вредоносен код.

Универсален сниффер

При анализа на едно от домените, свързани с инфраструктурата на снуфери ReactGet, беше установено, че същият потребител е регистрирал три други домена. Тези три домена имитираха домените на реално съществуващи сайтове и преди това бяха използвани за хостване на снуфери. При анализ на кода на трите легитимни сайта беше открит неизвестен снуфер, а по-нататъшният анализ показа, че това е усъвършенствана версия на снуфера ReactGet. Всички преди това проследявани версии на снуферите от това семейство бяха нацелени на съответна платежна система, т.е. за всяка платежна система бе необходима специална версия на снуфера. Въпреки това в този случай беше открита универсална версия на снуфера, способна да кражи информация от формуляри, свързани с 15 различни платежни системи и модули за електронна търговия за провеждане на онлайн плащания.

И така, в началото на работата снуферът извърши търсене на основните полета на формата, съдържащи лична информация на жертвата: пълно име, физически адрес, номер на телефон.

След това снуферът извърши търсене по повече от 15 различни префикса, отговарящи на различни платежни системи и модули за онлайн плащания.

След това личните данни на жертвата и платежната информация бяха събрани накуп и изпратени на контролирания от престъпника сайт: в този конкретен случай бяха открити две версии на универсалния снуфер ReactGet, разположени на два различни хакнати сайта. Въпреки това и двете версии изпращаха откраднатите данни на един и същ хакнат сайт. zoobashop.com.

Анализът на префиксите, използвани от снуфера за търсене на полета, съдържащи платежната информация на жертвата, позволи да се определи, че този образец на снуфера беше нацелен на следните платежни системи:

• Authorize.Net
• Verisign
• First Data
• USAePay
• Stripe
• PayPal
• ANZ eGate
• Braintree
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• Heartland Payment Systems

Какви инструменти се използват за кражба на платежна информация

Първият инструмент, открит при анализа на инфраструктурата на атакуващите, служи за обфускация на злонамерените скриптове, отговорни за кражба на банкови карти. На един от хостовете на атакуващите беше открит bash-скрипт, използващ CLI проекта javascript-obfuscator за автоматизиране на обфускацията на кода на снуферите.

Вторият открит инструмент е предназначен за генериране на код, отговарящ за зареждането на основния снифер. Този инструмент генерира JavaScript код, който проверява дали потребителят е на страницата за плащане, като търси в текущия адрес на потребителя стрингове checkout, cart и така нататък, и ако резултатът е положителен, кодът зарежда основния снифер от сървъра на атакуващите. За да се скрие злонамерената активност, всички стрингове, включително тестовите стрингове за определяне на страницата за плащане, както и връзката към снифера, са кодирани с помощта на base64.

Фишинг атаки

При анализа на мрежовата инфраструктура на нападателите било установено, че често за получаване на достъп до административната панел на целевия онлайн магазин престъпната група използва фишинг. Нападателите регистрират домейн, който визуално е подобен на домейна на магазина, а след това развиват на него фалшива форма за вход в административната панел на Magento. В случай на успех, нападателите получават достъп до административната панел на CMS Magento, което им позволява да редактират компоненти на сайта и да внедрят снифер за кражба на данни от кредитни карти.

Инфраструктура

Семейство G-Analytics

Това семейство снифери се използва за кражба на карти на клиенти от онлайн магазини. Първото домейно, използвано от групата, е регистрирано през април 2016 година, което може да свидетелства за началото на дейността на групата в средата на 2016 година.

В текущата кампания групата използва домейн имена, имитиращи реално съществуващи услуги, като Google Analytics и jQuery, маскирайки активността на сниферите с легитимни скриптове и подобни на легитимни домейн имена. Нападнати са сайтове, работещи под управление на CMS Magento.

Как G-Analytics се внедрява в кода на онлайн магазина

Характерна особенност на това семейство е използването на различни методи за кражба на платежна информация на потребителя. Освен класическото внедряване на JavaScript код в клиентската част на сайта, престъпната група също така е използвала техника за внедряване на код в сървърната част на сайта, именно PHP скриптове, които обработват въведените от потребителя данни. Тази техника е опасна, тъй като затруднява откритията на злонамерения код от трети страни. Специалисти от Group-IB откриха версия на снифера, внедрен в PHP кода на сайта, използваща домейн dittm.org.

Също така беше открита ранна версия на снифера, който използва същия домейн за събиране на откраднати данни dittm.org, но тази версия е предназначена вече за инсталиране на клиентската страна на онлайн магазина.

По-късно групата промени тактиката си и започна да отделя повече внимание на прикриването на злонамерената активност и маскирането.

В началото на 2017 година групата започна да използва домейн jquery-js.com, маскиращ се като CDN за jQuery: при посещение на сайта на нападателите, потребителят се пренасочва към легитимен сайт jquery.com.

А в средата на 2018 година групата взе на въоръжение домейна g-analytics.com и започна да маскира дейността на снифера под легитимен сервис на Google Analytics.

Анализ на версиите

При анализа на домейните, използвани за съхранение на кода на сниферите, беше установено, че сайтът съдържа голямо количество версии, които се различават по наличието на обфускация, както и по наличието или отсъствието на недостижим код, добавен в файла за отвлечение на вниманието и прикриване на злонамерения код.

Общо на сайта jquery-js.com бяха открити шест версии на снифери. Откраднатите данни тези сниифери изпращат на адрес, разположен на същия сайт, където е и самият снифер: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

По-късният домейн g-analytics.com, използван от групата в атаките от средата на 2018 година, служи като хранилище за повече снифери. Общо бяха открити 16 различни версии на снифера. В този случай гейтът за изпращане на откраднатите данни беше маскиран под линк към изображение с формат GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
=1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

Монетизация на откраднатите данни

Престъпната група монетизира откраднатите данни, продавайки карти чрез специално създаден подземен магазин, предлагащ услуги на кардърите. Анализът на домейните, използвани от нападателите, позволи да се определи, че google-analytics.cm беше регистриран от същия потребител, който и домейнът cardz.vc. Домейнът cardz.vc се отнася до магазин за продажба на откраднати банкови карти Cardsurfs (Flysurfs), който стана популярен още по време на активността на подземната търговска площадка AlphaBay като магазин за продажба на банкови карти, откраднати с помощта на сниффера.

Анализирайки домейнa analytic.is, разположен на същия сървър, на който са домейните, използвани от снифферите за събиране на откраднати данни, експертите от Group-IB откриха файл, съдържащ логове на Cookie-стилера, който изглежда е бил изоставен от разработчика. Един от записите в логовете съдържаше домейн iozoz.com, който преди е бил използван в един от снифферите, активни през 2016 година. Предполага се, че този домейн е бил използван от злонамереното лице за събиране на откраднати карти с помощта на сниффера. Този домейн е бил регистриран на имейл адрес kts241@gmail.com, който също е бил използван за регистрация на домейни cardz.su и cardz.vc, свързани с кардинг магазина Cardsurfs.

На базата на получените данни, може да се предположи, че семейството на снифферите G-Analytics и подземният магазин за продажба на банкови карти Cardsurfs се управляват от едни и същи хора, а магазинът се използва за реализиране на банкови карти, откраднати с помощта на сниффера.

Инфраструктура

Семейство Illum

Illum — семейство сниффери, използвани за атаки на онлайн магазини, работещи с CMS Magento. Освен внедряване на злонамерен код, операторите на този снифер също използват пълноценни фалшиви форми за плащане, които изпращат данните на контролирани от злонамерени лица гейтове.

При анализа на мрежовата инфраструктура, която използват операторите на този снифер, беше отбелязано голямо количество злонамерени скриптове, експлойти, фалшиви платежни форми, както и сборник примери със злонамерени сниффери на конкурентите. На базата на информацията за датите на появата на домейните, използвани от групата, може да се предположи, че началото на кампанията е в края на 2016 година.

Как Illum се внедрява в кода на онлайн магазина

Първите открити версии на снифера се внедряваха директно в кода на компрометирания сайт. Откраднатите данни се изпращаха на адрес cdn.illum[.]pw/records.php, а гейта беше кодирана с помощта на base64.

По-късно бе открита опакована версия снифера, използваща друга врата — records.nstatistics[.]com/records.php.

Според отчет Willem de Groot, същият хост беше използван в снифера, който бе внедрен на сайта на магазина, собственост на немската политическа партия CSU.

Анализ на сайта на престъпниците

Специалисти от Group-IB откриха и анализираха сайта, използван от тази криминална група за съхранение на инструменти и събиране на открадната информация.

Сред инструментите, открити на сървъра на престъпниците, бяха намерени скриптове и експлойдове за повишаване на привилегиите в ОС Linux: например, Linux Privilege Escalation Check Script, разработен от Майк Чумак (Mike Czumak), както и експлойт за CVE-2009-1185.

Престъпниците използваха два експлойта, специално за атаки на онлайн магазини: първият може да внедри злонамерен код в core_config_data чрез експлоатация на CVE-2016-4010, втората експлоатира уязвимост тип RCE в плъгини за CMS Magento, позволявайки изпълнението на произволен код на уязвимия уеб сървър.

Също така, по време на анализа на сървера бяха намерени различни образци на снитери и фалшиви платежни форми, използвани от престъпниците за събиране на платежна информация от хакнати сайтове. Както може да се види от списъка по-долу, някои скриптове бяха създадени индивидуално за всеки хакнат сайт, докато за определени CMS и платежни шлюзове беше използвано общо решение. Например, скриптовете segapay_standart.js и segapay_onpage.js са предназначени за внедряване на сайтове, използващи платежния шлюз Sage Pay.

Списък на скриптове за различни платежни шлюзове

Хост paymentnow[.]tk, използван като врата в скрипта payment_forminsite.js, бе открит като subjectAltName в няколко сертификата, свързани със услугата CloudFlare. Освен това, на хоста бе разположен скрипт evil.js. Съдейки по името на скрипта, той можеше да бъде използван в контекста на експлоатацията на CVE-2016-4010, благодарение на която може да бъде внедрен злонамерен код в footer-а на сайта, управляван от CMS Magento. Като врата този скрипт използва хоста request.requestnet[.]tk, използващ същия сертификат, който е и на хоста paymentnow[.]tk.

Фалшиви платежни форми

По-долу на изображението е показан пример на форма за въвеждане на данни от карта. Тази форма беше използвана за внедряване на сайта на онлайн магазина и кражба на данни за картите.

На следващата рисунка — пример за фалшива платежна форма PayPal, използвана от злонамерени лица за внедряване на сайтове с този метод на плащане.

Инфраструктура

Семейство CoffeMokko

Семейство на снифферите CoffeMokko, предназначени за кражба на банкови карти от потребители на интернет магазини, се използва поне от май 2017 година. Предполага се, че операторите на това семейство сниффери са престъпна група Group 1, описана от специалистите на RiskIQ през 2016 година. Атаките са насочени срещу сайтове, управлявани от CMS като Magento, OpenCart, WordPress, osCommerce, Shopify.

Как CoffeMokko се внедрява в кода на онлайн магазина

Операторите на това семейство създават уникални сниффери за всяко заразяване: файлът на сниффера се намира в директория src или js на сървъра на злонамерените лица. Внедряването в кода на сайта се извършва чрез директна връзка към сниффера.

В кода на сниффера са зададени на твърдо полета, от които е необходимо да се откраднат данни. Също така сниффера проверява дали потребителят е на страницата за плащане, сравнявайки списъка с ключови думи с текущия адрес на потребителя.

Някои открити версии на сниффера са били обфускирани и съдържали криптирана низ, в който е съхранен основният масив от ресурси: именно в него са имена на полета за различни платежни системи, както и адрес на гейта, на който трябва да се изпратят откраднатите данни.

Открадната платежна информация се изпраща на скрипт на сървъра на злонамерените лица по пътя /savePayment/index.php или /tr/index.php. Предполага се, че този скрипт служи за изпращане на данни от гейта на основния сървър, който консолидира данни от всички сниффери. За да се прикрият предаваните данни, цялата платежна информация на жертвата се кодифицира с помощта на base64, след което се извършват няколко замени на символи:

• символът 'e' се замества с ':'
• символът 'w' се замества с '+'
• символът 'o' се замества с '%'
• символът 'd' се замества с '#'
• символът 'a' се замества с '-'
• символът '7' се замества с '^'
• символът 'h' се замества с '_'
• символът 'T' се замества с '@'
• символът '0' се замества с '/'
• символът 'Y' се замества с '*'

В резултат на замените на символи данните, кодирани с помощта на base64 не могат да бъдат декодирани, без да се извърши обратно преобразуване.

Така изглежда фрагмент от кода на снифера, който не е подлаган на обфускация:

Анализ на инфраструктурата

В ранните кампании злонамерените лица регистрираха домейни, подобни на домейните на легитимни сайтове на онлайн магазини. Техният домейн можеше да се различава от легитимния с един символ или различен TLD. Регистрираните домейни се използваха за съхранение на кода на снифера, чиято връзка се внедряваше в кода на магазина.

Също така, тази група използваше домейни, наподобяващи имената на популярни плъгини за jQuery (slickjs[.]org за сайтове, използващи плъгина slick.js), платежни шлюзове (sagecdn[.]org за сайтове, използващи платежната система Sage Pay).

По-късно групата започна да създава домейни, чиито имена нямат нищо общо нито с домейна на магазина, нито с тематиката на магазина.

На всеки домейн съответстваше сайт, на който се създаваше директория /js или /src. В тази директория се съ храняваха скриптове на снифери: по един снифер за всяко ново инфектиране. Сниферът се интегрираше в кода на сайта посредством пряка връзка, но в редки случаи злонамерените лица модифицираха един от файловете на сайта и добавяха в него злонамерен код.

Анализ на кода

Първи алгоритъм за обфускация

В някои открити образци на снифери от това семейство кодът беше обфускиран и съдържаше шифровани данни, необходими за работата на снифера: по-специално, адресът на гейта на снифера, списък с полета от платежната форма, а в някои случаи — код на фалшива форма на плащане. В кода вътре в функцията ресурсите бяха шифровани с помощта на XOR с ключ, който се предаваше като аргумент на въпросната функция.

Дешифрирайки низ с подходящия ключ, уникален за всеки образец, може да се получи низ, съдържащ всички низове от кода на снифера, разделени с разделител.

Втори алгоритъм за обфускация

В по-късни образци на снифери от това семейство беше използван друг механизъм за обфускация: в този случай данните бяха шифровани с помощта на собствен алгоритъм. Низът, съдържащ шифрованите данни, необходими за работата на снифера, беше предаван като аргумент на функцията за декриптиране.

С помощта на конзолата на браузъра може да бъдат дешифрирани шифрованите данни и да се получи масив, съдържащ ресурсите на снифера.

Връзка с ранни атаки на MageCart

В хода на анализа на един от домейнте, използвани от групата като гейт за събиране на откраднати данни, беше установено, че на този домейн е разположена инфраструктура за кражба на кредитни карти, идентична на тази, използвана от Group 1 — една от първоначалните групи, открити от специалистите на RiskIQ.

На хоста на семейството на снифферите CoffeMokko бяха открити два файла:

• mage.js — файл, съдържащ кода на снифера Group 1 с адреса на гейта js-cdn.link
• mag.php — PHP скрипт, отговарящ за събирането на данни, откраднати от снифера

Содержимое файла mage.js
Също така беше установено, че най-ранните домейни, използвани от групата, стояща зад семейството на снифферите CoffeMokko, са регистрирани на 17 май 2017 година:

• link-js[.]link
• info-js[.]link
• track-js[.]link
• map-js[.]link
• smart-js[.]link

Форматът на тези домейн имена съвпада с домейн имената на Group 1, които бяха използвани в атаките през 2016 година.

На база откритите факти можем да направим предположение, че между операторите на снифферите CoffeMokko и престъпната група Group 1 има връзка. Предполагаемо, операторите на CoffeMokko биха могли да заимстват инструменти и софтуер за кражба на карти от своите предшественици. Но по-вероятно е, че престъпната група, стояща зад използването на снифферите от семейството на CoffeMokko, е същата, която е провела атаките в рамките на дейността на Group 1. След публикуването на първия отчет за дейността на престъпната група всички техни домейн имена бяха блокирани, а инструментите бяха подробно изучени и описани. Групата беше принудена да направи пауза, за да доработи собствените си инструменти и да пренапише кода на снифферите, за да продължи атаките си и да остане незабелязана.

Инфраструктура

Източник: habr.com