Четири JavaScript снуфери, които Ви дебнат в интернет магазините

Практически все ние от нас използват услуги на онлайн магазини, което означава, че рано или късно рискуваме да станем жертва на JavaScript снифери — специален код, който злонамерени лица внедряват на сайта с цел кражба на данни за банкови карти, адреси, логини и пароли на потребителите.

От сниферите вече пострадаха почти 400 000 потребители на сайта и мобилното приложение на авиокомпания British Airways, както и посетителите на британския сайт на спортния гигант FILA и американския дистрибутор на билети Ticketmaster. PayPal, Chase Paymenttech, USAePay, Moneris — тези и много други платежни системи бяха засегнати.

Аналитикът Виктор Окороков от Threat Intelligence Group-IB разказва как сниферите се внедряват в кода на сайта и крадат платежна информация, а също така какви CRM системи атакуват.

«Скритата заплаха»

Факт е, че дълго време JS сниферите остават извън полезрението на антивирусните анализатори, а банките и платежните системи не ги считат за сериозна заплаха. И напълно напразно. Експертите от Group-IB анализираха 2440 заразени онлайн магазина, посещавани от общо около 1,5 милиона души на ден, бяха изложени на риск от компрометиране. Пострадали са не само потребителите, но и онлайн магазините, платежните системи и банките, издали компрометирани карти.

Доклад Group-IB стана първото изследване на тъмен пазар на снифери, тяхната инфраструктура и начините на монетизация, носещи на създателите им милиони долари. Идентифицирахме 38 семейства снифери, от които само 12 са били известни на изследователите преди.

Нека се спрем подробно на четирите семейства снифери, изучени в хода на изследването.

Семейство ReactGet

Семейството сниффери ReactGet се използват за кражба на данни от банкови карти на сайтове за онлайн пазаруване. Снифферът може да работи с множество различни платежни системи, използвани на сайта: едно значение на параметър съответства на една платежна система, а отделните открити версии на сниффера могат да се използват за кражба на идентификационни данни, както и за кражба на данни от банкови карти от формуляри за плащане на няколко платежни системи едновременно, т.нар. универсален сниффер. Установено е, че в някои случаи атакуващите извършват фишинг атаки срещу администраторите на онлайн магазини с цел получаване на достъп до административната панел на сайта.

Кампанията с приложението на това семейство сниффери започна през май 2017 г., атакуваните сайтове бяха управлявани от CMS и платформи като Magento, Bigcommerce и Shopify.

Как ReactGet се внедрява в кода на онлайн магазина

Освен "класическото" внедряване на скрипт чрез линк, операторите на снифферите от семейството ReactGet използват специална техника: чрез JavaScript код се проверява дали текущият адрес, на който се намира потребителят, отговаря на определени критерии. Зловредният код ще бъде изпълнен само ако в текущия URL адрес присъства подстрока checkout или onestepcheckout, onepage/, out/onepag, checkout/one, ckout/one. По този начин, кодът на сниффера ще се изпълни точно в момента, когато потребителят премине към плащане и въведе платежната информация във формуляра на сайта.

Този сниффер използва нестандартна техника. Платежните и личните данни на жертвата се събират заедно, кодирани чрез base64, а след това полученият стринг се използва като параметър за изпращане на заявка до сайта на престъпника. Най-често пътят до гейта имитира JavaScript файл, например resp.js, data.js и т.н., но също така се използват линкове към изображения, GIF и JPG. Характерно е, че снифферът създава изображение с размери 1 на 1 пиксел и използва получения преди това линк като параметър. src изображения. Тоест, за потребителя, подобно искане в трафика, то ще изглежда като искане на обикновена картинка. Подобна техника беше използвана в снифферите от семейството ImageID. Освен това, техниката с използването на изображение с размер 1 на 1 пиксел се прилага в много легитимни онлайн аналитични скриптове, което също може да подведе потребителя.

Анализ на версиите

Анализът на активни домейни, използвани от операторите на снифферите ReactGet, позволи откритие на много различни версии на снифферите от това семейство. Версиите се различават по наличие или липса на обфукация, а освен това, всеки сниффер е предназначен за специфична платежна система, обрабатываща плащания с банкови карти за онлайн магазини. Изследвайки стойността на параметъра, съответстващ на номера на версията, специалистите на Group-IB получиха пълен списък на наличните вариации на снифферите, а чрез имената на полетата на формите, които всеки сниффер търси в кода на страницата, определиха целевите платежни системи.

Списък на снифферите и съответните им платежни системи

Сниффер на пароли

Едно от предимствата на JavaScript снифферите, работещи на клиентската страна на сайта, е универсалността: внедреният в сайта злонамерен код е способен да открадне данни от всякакъв тип, било то платежни данни или вход с парола за потребителски акаунт. Специалистите на Group-IB откриха образец на сниффер, относящ се към семейството ReactGet, предназначен за кражба на адреси на електронна поща и пароли на потребители на сайта.

Пресичане със сниффера ImageID

По време на анализа на един от заразените магазини беше установено, че сайтът му е бил заразен два пъти: освен злонамерен код от сниффера от семейството ReactGet, беше открит код на сниффера от семейството ImageID. Това пресичане може да е доказателство, че операторите, стоящи зад използването на двата сниффера, прилагат сходни техники за внедряване на злонамерен код.

Универсален сниффер

При анализа на едно от домейните, свързани с инфраструктурата на снюфери ReactGet, беше установено, че същият потребител е регистрирал три други домейна. Тези три домейна имитираха домейни на реално съществуващи сайтове и преди това са били използвани за хостване на снюфери. При анализа на кода на трите легитимни сайта бе открит неизвестен снюфер, а по-нататъшният анализ показа, че това е усъвършенствана версия на снюфера ReactGet. Всички преди това проследявани версии на снюфери от това семейство бяха насочени към конкретна платежна система, тоест за всяка платежна система беше необходима специална версия на снюфера. Въпреки това в този случай бе открита универсална версия на снюфера, способна да краде информация от форми, свързани с 15 различни платежни системи и модули на електронни търговски сайтове за извършване на онлайн плащания.

Така че, в началото снюферът извършваше търсене на основни полета на формата, съдържащи лична информация на жертвата: пълно име, физически адрес, телефонен номер.

След това снюферът извършваше търсене по повече от 15 различни префикса, съответстващи на различни платежни системи и модули за онлайн плащания.

Накрая личните данни на жертвата и платежната информация бяха събрани и изпратени на контролирания от злонамерен сайт: в този конкретен случай бяха открити две версии на универсалния снюфер ReactGet, разположени на два различни хакнати сайта. Въпреки това и двете версии изпращаха откраднати данни на един и същ хакнат сайт. zoobashop.com.

Анализът на префиксите, използвани от снюфера за търсене на полета, съдържащи платежната информация на жертвата, позволи да се определи, че този образец на снюфера е насочен към следните платежни системи:

• Authorize.Net
• Verisign
• First Data
• USAePay
• Stripe
• PayPal
• ANZ eGate
• Braintree
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• Heartland Payment Systems

Кои инструменти се използват за кражба на платежна информация

Първият инструмент, открит по време на анализа на инфраструктурата на нападателите, служи за обфускиране на злонамерени скриптове, отговорни за кражба на банкови карти. На един от хостовете на нападателите беше открит bash-скрипт, използващ CLI на проекта javascript-obfuscator за автоматизация на обфускирането на кода на снюферите.

Вторият открит инструмент е предназначен за генериране на код, отговарящ за зареждането на основния снифер. Този инструмент генерира JavaScript код, който проверява дали потребителят е на страницата за плащане, чрез търсене на текущия адрес на потребителя за низове checkout, кошница и така нататък, и ако резултатът е положителен, кодът зарежда основния снифер от сървъра на нападателя. За да се скрие зловредната активност, всички низове, включително тестовите низове за определяне на страницата за плащане, както и връзката към снифера, са кодирани с помощта на base64.

Фишинг атаки

По време на анализа на мрежовата инфраструктура на атакуващите беше установено, че често за достъп до администраторския панел на целевия онлайн магазин, преступната група използва фишинг. Атакущите регистрират домейн, визуално подобен на домейна на магазина, и след това разгръщат фалшива форма за вход в администраторския панел на Magento. При успех атакуващите получават достъп до административния панел на CMS Magento, което им позволява да редактират компонентите на сайта и да внедрят снифер за кражба на данни за кредитни карти.

Инфраструктура

Семейство G-Analytics

Това семейство снифери се използва за кражба на карти на клиенти на онлайн магазини. Най-ранното домейн име, използвано от групата, бе регистрирано през април 2016 г., което може да свидетелства за начало на активността на групата в средата на 2016 г.

В текущата кампания групата използва домейн имена, имитиращи реално съществуващи услуги, като Google Analytics и jQuery, маскирайки активността на сниферите с легитимни скриптове и подобни на легитимни домейн имена. Уебсайтовете, управлявани от CMS Magento, бяха атакувани.

Как G-Analytics се внедрява в кода на онлайн магазина

Характерната черта на това семейство е използването на различни методи за кражба на платежна информация на потребителя. Освен класическото внедряване на JavaScript код в клиентската част на сайта, престъпната група също използвала техника за внедряване на код в сървърната част на сайта, а именно PHP скриптове, които обработват въведените от потребителя данни. Тази техника е опасна, тъй като затруднява откритията на злонамерен код от трети изследователи. Специалистите на Group-IB откриха версия на сниффер, внедрен в PHP кода на сайта, който използва като гейт домейн dittm.org.

Също така беше открита ранна версия на сниффера, използваща за събиране на откраднати данни същия домейн dittm.org, но тази версия е предназначена вече за инсталация на клиентската страна на онлайн магазина.

По-късно групата промени тактиката си и започна да обръща повече внимание на скритето на злонамерената активност и маскировката.

в началото на 2017 година групата започна да използва домейн jquery-js.com, маскиращ се под CDN за jQuery: при преход на сайта на злонамеренците, потребителя пренасочва на легитимен сайт jquery.com.

А в средата на 2018 година групата взела на въоръжение доменно име g-analytics.com и започнала да маскира дейността на сниффера под легитимен сервис Google Analytics.

Анализ на версиите

При анализа на домените, използвани за съхранение на кода на снифферите, установено, че на сайта се разполагат много версии, които се различават по наличие на обфускация, а също и наличие или отсъствие на недостъпен код, добавен в файла за отвлечение на вниманието и скриване на злонамерен код.

Общо на сайта jquery-js.com бяха открити шест версии на сниффери. Откраднатите данни тези сниффери изпращат на адрес, разположен на същия сайт, където се намира самият сниффер: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

По-късния домейн g-analytics.com, използван от групата в атаките от средата на 2018 година, служи като хранилище за повече версии на сниффери. Общо бяха открити 16 различни версии на сниффера. В този случай гейтът за изпращане на откраднатите данни беше маскиран под линк към изображение във формат GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
=1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

Монетизация на откраднатите данни

Престъпната група монетизира откраднатите данни, продавайки карти през специално създаден подпольен магазин, предоставящ услуги на кардера. Анализът на домените, използвани от атакуващите, позволи да се определи, че google-analytics.cm беше регистриран от същия потребител, който и домейнът cardz.vc. Домейнът cardz.vc принадлежи на магазин за продажба на крадени банкови карти Cardsurfs (Flysurfs), който стана популярен още по времето на активността на подземната търговска платформа AlphaBay като магазин за продажба на банкови карти, откраднати с помощта на снифери.

Анализирайки домейна analytic.is, разположен на същия сървър, на който са и домейните, използвани от сниферите за събиране на крадени данни, специалисти от Group-IB откриха файл, съдържащ лога на Cookie-stiller, който вероятно е бил впоследствие изоставен от разработчика. Една от записите в лога съдържаше домейн iozoz.com, който по-рано е бил използван в един от сниферите, активни през 2016 година. Предполага се, че този домейн е бил използван от злоумышленик за събиране на крадени карти с помощта на снифер. Този домейн беше регистриран на email адрес kts241@gmail.com, който също беше използван за регистрацията на домейни cardz.su и cardz.vc, свързани с магазин за крадинги Cardsurfs.

Съдейки по получените данни, може да се предположи, че семейството на сниферите G-Analytics и подземният магазин за продажба на банкови карти Cardsurfs се управляват от едни и същи хора, а магазинът се използва за реализация на банкови карти, откраднати с помощта на снифер.

Инфраструктура

Семейство Illum

Illum е семейство снифери, използвани за атаки срещу онлайн магазини, работещи с CMS Magento. Освен внедряване на зловреден код, операторите на този снифер също използват внедряване на пълноценни фалшиви формуляри за плащане, които изпращат данни на контролираните от злоумышлениците гейтове.

При анализа на мрежовата инфраструктура, която използват операторите на този снифер, беше отбелязано голямо количество зловредни скриптове, експлойти, фалшиви платежни формуляри, а също и сборник с примери от зловредни снифери на конкурентите. Съдейки по информацията за датите на появата на домейните, използвани от групата, може да се предположи, че началото на кампанията е през края на 2016 година.

Как Illum се внедрява в кода на онлайн магазина

Първите открити версии на снифера бяха внедрявани директно в кода на компрометираният сайт. Украдените данни бяха изпращани на адрес cdn.illum[.]pw/records.php, а гейтът беше кодиран с помощта на base64.

По-късно беше открита опакована версия на снифера, използваща друга врата — records.nstatistics[.]com/records.php.

Според отчета Willem de Groot, същият хост е използван в снифера, който е внедрен на сайта на магазина, принадлежащ на германската политическа партия CSU.

Анализ на сайта на престъпниците

Специалистите от Group-IB откриха и анализираха сайта, използван от тази престъпна група за съхраняване на инструменти и събиране на открадната информация.

Сред инструментите, открити на сървъра на престъпниците, имаше скриптове и експлойти за повишаване на привилегиите в операционната система Linux: например, Скрипт за проверка на ескалация на привилегии в Linux, разработен от Майк Чумак (Mike Czumak), както и експлойт за CVE-2009-1185.

Престъпниците използваха два експлойта специално за атаки на онлайн магазини: първи възможно е да внедри зловреден код в core_config_data чрез експлоатация на CVE-2016-4010, втора част на цикъла). Накратко ще повторя: екссплоатира уязвимост тип RCE в плъгини за CMS Magento, позволяваща изпълнението на произволен код на уязвим уеб сървър.

Също така, по време на анализа на сървъра бяха открити различни образци на снифери и фалшиви платежни форми, използвани от престъпниците за събиране на платежна информация от хакнати сайтове. Както може да се забележи от списъка по-долу, някои скриптове са създадени индивидуално за всеки хакнат сайт, докато за определени CMS и платежни шлюзове е използвано универсално решение. Например, скриптовете segapay_standart.js и segapay_onpage.js са предназначени за внедряване на сайтове, които използват платежен шлюз Sage Pay.

Списък на скриптовете за различни платежни шлюзове

Хост paymentnow[.]tk, използван като врата в скрипта payment_forminsite.js, беше открит като subjectAltName в няколко сертификата, свързани с услугата CloudFlare. Освен това, на хоста беше открит скрипт evil.js. Съдя по името на скрипта, той може да е използван в рамките на експлоатацията на CVE-2016-4010, благодарение на която може да бъде внедрен зловреден код в футера на сайта, управляван от CMS Magento. Като врата, този скрипт е приложил хоста request.requestnet[.]tk, използващ същия сертификат, който и хоста paymentnow[.]tk.

Фалшиви платежни форми

По-долу е показан пример на форма за въвеждане на данни за картата. Тази форма е била използвана за внедряване в сайта на онлайн магазина и кражба на данни за картите.

На следващата рисунка има пример за фалшива платежна форма PayPal, използвана от нападатели за внедряване на сайтове с този метод на плащане.

Инфраструктура

Семейство CoffeMokko

Семейство от сниффери CoffeMokko, предназначени за кражба на банкови карти на потребители от интернет-магазини, се използва най-малко от май 2017 година. Предполага се, че операторите на това семейство сниффери са престъпната група Group 1, описана от специалистите на RiskIQ през 2016 година. Атакувани са сайтове, управлявани от такива CMS като Magento, OpenCart, WordPress, osCommerce, Shopify.

Как CoffeMokko се внедрява в кода на онлайн магазина

Операторите на това семейство създават уникални сниффери за всяко заразяване: файлът на снифера се намира в директория src или js на сървъра на нападателите. Внедряването в кода на сайта се извършва чрез пряка връзка към снифера.

В кода на снифера са твърдо задействани имената на полетата на формата, от които трябва да бъдат откраднати данни. Също така, снифера проверява дали потребителят е на страницата за плащане, съпоставяйки списъка с ключови думи с текущия адрес на потребителя.

Някои открити версии на снифера бяха обфусцирани и съдържаха криптиран низ, в който беше съхраняван основният масив от ресурси: именно в него бяха имената на полета за различни платежни системи, както и адреса на шлюза, на който трябва да бъдат изпратени откраднатите данни.

Откраднатата платежна информация се изпраща на скрипта на сървъра на нападателите по пътя /savePayment/index.php или /tr/index.php. Предполага се, че този скрипт служи за изпращане на данни от шлюза към основния сървър, консолидиращ данните от всички сниффери. За да се скрият предаваните данни, цялата платежна информация на жертвата се кодира с помощта на base64, след което следват няколко замени на символи:

• символът «e» се заменя с «:**»
• символът «w» се заменя с «+»
• символът «o» се заменя с «%»
• символът «d» се заменя с «#»
• символът «a» се заменя с «-»
• символът «7» се заменя с «^»
• символът «h» се заменя с «_»
• символът «T» се заменя с «@»
• символът «0» се заменя с «/»
• символът «Y» се заменя с «*»

В резултат на замените на символи, кодирани с помощта на base64 данните не могат да бъдат декодирани, без да се проведе обратното преобразуване.

Така изглежда фрагмент от кода на снифера, който не е бил обфускиран:

Анализ на инфраструктурата

В ранните кампании нападателите регистрираха домейни, подобни на легитимните сайтове на онлайн магазини. Нихният домейн можеше да се различава от легитимния с един символ или различен TLD. Регистрираните домейни се използваха за съхранение на кода на снифера, връзката към който беше внедрена в кода на магазина.

Също така, тази група използваше домейни, наподобяващи имената на популярни плъгини за jQuery (slickjs[.]org за сайтове, използващи плъгина slick.js), платежни шлюзове (sagecdn[.]org за сайтове, използващи платежната система Sage Pay).

По-късно групата започна да създава домейни, чиито имена нямат абсолютно нищо общо нито с магазина, нито с темата на магазина.

На всеки домейн отговаряше сайт, на който се създаваше директория /js или /src. В тази директория се съхраняваха скриптове на снифера: по един снифер за всяко ново инфектиране. Сниферът се внедряваше в кода на сайта чрез директна връзка, но в редки случаи нападателите модифицираха един от файловете на сайта и добавяха в него злонамерен код.

Анализ на кода

Първи алгоритъм за обфускация

В някои открити образци на снифери от това семейство кодът е бил обфускиран и съдържа зашифровани данни, необходими за работата на снифера: по-специално адрес на гейта на снифера, списък на полетата на платежната форма, а в някои случаи — код на фалшива форма за плащане. В кода вътре в функцията ресурсите са били зашифровани с помощта на XOR по ключ, който се предаваше като аргумент на същата функция.

Разшифровайки низът с подходящия ключ, уникален за всеки образец, можем да получим низ, съдържащ всички низове от кода на снифера, разделени със символ-разделител.

Втори алгоритъм за обфускация

В по-късните образци на снифери от това семейство е бил използван друг механизъм за обфускация: в този случай данните са били зашифровани с помощта на самописен алгоритъм. Низът, съдържащ зашифрованите данни, необходими за работата на снифера, се предаваше като аргумент на функцията за разшифровка.

С помощта на конзолата на браузъра е възможно да се разшифроват зашифрованите данни и да се получи масив, съдържащ ресурсите на снифера.

Връзка с ранните атаки MageCart

При анализа на един от домейните, използвани от групата като портал за събиране на откраднати данни, беше установено, че на този домейн е разгръната инфраструктура за кражба на кредитни карти, идентична на тази, използвана от Group 1 — една от първите групи, открити от специалистите на RiskIQ.

На хоста на семейството на шпионите CoffeMokko бяха открити два файла:

• mage.js — файл, съдържащ кода на шпионина Group 1 с адреса на портала js-cdn.link
• mag.php — PHP скрипт, отговорен за събиране на откраднатите данни от шпионина

Содержимое файла mage.js
Също беше установено, че най-ранните домейни, използвани от групата, стояща зад семейството на шпионите CoffeMokko, са регистрирани на 17 май 2017 година:

• link-js[.]link
• info-js[.]link
• track-js[.]link
• map-js[.]link
• smart-js[.]link

Форматът на тези домейн имена съвпада с домейн имената на Group 1, които бяха използвани в атаките през 2016 година.

На базата на откритите факти може да се направи предположение, че между операторите на шпионите CoffeMokko и престъпната група Group 1 има връзка. Вероятно, операторите на CoffeMokko са могли да заемат инструменти и софтуер за кражба на карти от своите предшественици. Въпреки това, по-вероятно е престъпната група, която стои зад използването на шпионите на семейството CoffeMokko, да е същата, която е извършила атаките в рамките на дейността на Group 1. След публикуването на първия доклад за дейността на престъпната група, всички техни домейн имена бяха блокирани, а инструментите подробно изучени и описани. Групата беше принудена да вземе пауза, да доработи своите вътрешни инструменти и да пренапише кода на шпионите, за да продължи атаките си и да остане незабелязана.

Инфраструктура

Източник: habr.com