চারটি জাভাস্ক্রিপ্ট স্নিফার যা অনলাইন স্টোরগুলিতে আপনার জন্য অপেক্ষা করছে৷

আমরা প্রায় সকলেই অনলাইন স্টোরের পরিষেবাগুলি ব্যবহার করি, যার অর্থ হল শীঘ্রই বা পরে আমরা জাভাস্ক্রিপ্ট স্নিফারের শিকার হওয়ার ঝুঁকি নিয়ে থাকি - বিশেষ কোড যা আক্রমণকারীরা ব্যবহারকারীদের ব্যাঙ্ক কার্ডের ডেটা, ঠিকানা, লগইন এবং পাসওয়ার্ড চুরি করার জন্য একটি ওয়েবসাইটে প্রয়োগ করে৷ .

ব্রিটিশ এয়ারওয়েজের ওয়েবসাইট এবং মোবাইল অ্যাপ্লিকেশনের প্রায় 400 ব্যবহারকারী ইতিমধ্যে স্নিফার দ্বারা প্রভাবিত হয়েছে, সেইসাথে স্পোর্টস জায়ান্ট FILA এবং আমেরিকান টিকিট ডিস্ট্রিবিউটর টিকিটমাস্টারের ব্রিটিশ ওয়েবসাইটের দর্শকরা। পেপাল, চেজ পেমেন্টটেক, USAePay, Moneris - এই এবং অন্যান্য অনেক পেমেন্ট সিস্টেম সংক্রমিত হয়েছে।

থ্রেট ইন্টেলিজেন্স গ্রুপ-আইবি বিশ্লেষক ভিক্টর ওকোরোকভ কীভাবে স্নিফাররা ওয়েবসাইটের কোড অনুপ্রবেশ করে এবং অর্থপ্রদানের তথ্য চুরি করে, সেইসাথে তারা কোন CRMগুলি আক্রমণ করে সে সম্পর্কে কথা বলেন।

"লুকানো হুমকি"

এটি তাই ঘটেছে যে দীর্ঘদিন ধরে জেএস স্নিফারগুলি অ্যান্টি-ভাইরাস বিশ্লেষকদের দৃষ্টির বাইরে ছিল এবং ব্যাঙ্ক এবং পেমেন্ট সিস্টেমগুলি তাদের গুরুতর হুমকি হিসাবে দেখেনি। এবং সম্পূর্ণ বৃথা। গ্রুপ-আইবি বিশেষজ্ঞরা বিশ্লেষিত 2440টি সংক্রামিত অনলাইন স্টোর, যার দর্শক - প্রতিদিন প্রায় 1,5 মিলিয়ন লোক - আপসের ঝুঁকিতে ছিল। ক্ষতিগ্রস্থদের মধ্যে কেবল ব্যবহারকারীই নয়, অনলাইন স্টোর, পেমেন্ট সিস্টেম এবং ব্যাঙ্কগুলিও যারা আপস করা কার্ড জারি করেছে।

প্রতিবেদন গ্রুপ-আইবি স্নিফার, তাদের অবকাঠামো এবং নগদীকরণের পদ্ধতিগুলির জন্য ডার্কনেট মার্কেটের প্রথম গবেষণায় পরিণত হয়েছে, যা তাদের নির্মাতাদের মিলিয়ন মিলিয়ন ডলার এনেছে। আমরা স্নিফারের 38 টি পরিবার সনাক্ত করেছি, যার মধ্যে শুধুমাত্র 12 টি পূর্বে গবেষকদের কাছে পরিচিত ছিল।

আসুন আমরা অধ্যয়নের সময় অধ্যয়ন করা স্নিফারের চারটি পরিবার সম্পর্কে বিস্তারিতভাবে আলোচনা করি।

ReactGet Family

ReactGet পরিবারের স্নিফারগুলি অনলাইন শপিং সাইটগুলিতে ব্যাঙ্ক কার্ডের ডেটা চুরি করতে ব্যবহার করা হয়। স্নিফার সাইটে ব্যবহৃত বিভিন্ন পেমেন্ট সিস্টেমের সাথে কাজ করতে পারে: একটি প্যারামিটার মান একটি পেমেন্ট সিস্টেমের সাথে মিলে যায়, এবং স্নিফারের পৃথক শনাক্ত করা সংস্করণগুলি শংসাপত্র চুরি করতে, সেইসাথে পেমেন্ট থেকে ব্যাঙ্ক কার্ডের ডেটা চুরি করতে ব্যবহার করা যেতে পারে একযোগে একাধিক পেমেন্ট সিস্টেমের ফর্ম, যেমন তথাকথিত ইউনিভার্সাল স্নিফার। এটি পাওয়া গেছে যে কিছু ক্ষেত্রে, আক্রমণকারীরা সাইটের প্রশাসনিক প্যানেলে অ্যাক্সেস পাওয়ার জন্য অনলাইন স্টোর প্রশাসকদের উপর ফিশিং আক্রমণ পরিচালনা করে।

স্নিফারদের এই পরিবারকে ব্যবহার করে একটি প্রচারণা মে 2017 সালে শুরু হয়েছিল; CMS এবং Magento, Bigcommerce, এবং Shopify প্ল্যাটফর্মগুলি চালানোর সাইটগুলি আক্রমণ করা হয়েছিল৷

কিভাবে ReactGet একটি অনলাইন স্টোরের কোডে প্রয়োগ করা হয়

একটি লিঙ্কের মাধ্যমে একটি স্ক্রিপ্টের "ক্লাসিক" বাস্তবায়নের পাশাপাশি, রিএক্টগেট ফ্যামিলি অফ স্নিফারের অপারেটররা একটি বিশেষ কৌশল ব্যবহার করে: জাভাস্ক্রিপ্ট কোড ব্যবহার করে, তারা পরীক্ষা করে যে বর্তমান ঠিকানা যেখানে ব্যবহারকারী রয়েছে সেটি নির্দিষ্ট মানদণ্ড পূরণ করে কিনা। যদি বর্তমান URL-এ সাবস্ট্রিং উপস্থিত থাকে তবেই ক্ষতিকারক কোডটি কার্যকর করা হবে৷ চেকআউট বা এক ধাপ চেকআউট, এক পৃষ্ঠা/, আউট/ওয়ানপ্যাগ, চেকআউট/এক, ckout/one. এইভাবে, স্নিফার কোডটি ঠিক সেই মুহুর্তে কার্যকর করা হবে যখন ব্যবহারকারী কেনাকাটার জন্য অর্থ প্রদানের জন্য এগিয়ে যাবে এবং সাইটের ফর্মে অর্থপ্রদানের তথ্য প্রবেশ করাবে।

এই স্নিফার একটি অ-মানক কৌশল ব্যবহার করে। শিকারের অর্থপ্রদান এবং ব্যক্তিগত তথ্য একসাথে সংগ্রহ করা হয় এবং ব্যবহার করে এনকোড করা হয় base64, এবং তারপরে ফলস্বরূপ স্ট্রিংটি আক্রমণকারীদের ওয়েবসাইটে একটি অনুরোধ পাঠাতে একটি প্যারামিটার হিসাবে ব্যবহৃত হয়। প্রায়শই, গেটের পথটি একটি জাভাস্ক্রিপ্ট ফাইলের অনুকরণ করে, উদাহরণস্বরূপ resp.js, data.js এবং তাই, কিন্তু ইমেজ ফাইলের লিঙ্কগুলিও ব্যবহার করা হয়, জিআইএফ и JPG,. বিশেষত্ব হল স্নিফার 1 বাই 1 পিক্সেল পরিমাপের একটি ইমেজ অবজেক্ট তৈরি করে এবং পূর্বে প্রাপ্ত লিঙ্কটিকে প্যারামিটার হিসাবে ব্যবহার করে src ছবি অর্থাৎ, ব্যবহারকারীর জন্য ট্র্যাফিকের এই জাতীয় অনুরোধটি একটি সাধারণ ছবির অনুরোধের মতো দেখাবে। স্নিফারের ইমেজআইডি পরিবারে অনুরূপ কৌশল ব্যবহার করা হয়েছিল। উপরন্তু, একটি 1 বাই 1 পিক্সেল চিত্র ব্যবহার করার কৌশলটি অনেক বৈধ অনলাইন বিশ্লেষণ স্ক্রিপ্টে ব্যবহৃত হয়, যা ব্যবহারকারীকে বিভ্রান্ত করতে পারে।

সংস্করণ বিশ্লেষণ

ReactGet স্নিফার অপারেটরদের দ্বারা ব্যবহৃত সক্রিয় ডোমেনগুলির বিশ্লেষণে স্নিফারদের এই পরিবারের বিভিন্ন সংস্করণ প্রকাশ করা হয়েছে। অস্পষ্টতার উপস্থিতি বা অনুপস্থিতিতে সংস্করণগুলি আলাদা, এবং উপরন্তু, প্রতিটি স্নিফার একটি নির্দিষ্ট পেমেন্ট সিস্টেমের জন্য ডিজাইন করা হয়েছে যা অনলাইন স্টোরের জন্য ব্যাঙ্ক কার্ডের অর্থপ্রদান প্রক্রিয়া করে। সংস্করণ নম্বরের সাথে সামঞ্জস্যপূর্ণ প্যারামিটারের মান অনুসারে সাজানোর পরে, গ্রুপ-আইবি বিশেষজ্ঞরা উপলব্ধ স্নিফার বৈচিত্রের একটি সম্পূর্ণ তালিকা পেয়েছেন এবং প্রতিটি স্নিফার পৃষ্ঠা কোডে যে ফর্ম ফিল্ডগুলি খুঁজছেন তার নাম অনুসারে, তারা পেমেন্ট সিস্টেমগুলি সনাক্ত করেছে যে স্নিফার লক্ষ্য করা হয়.

স্নিফারের তালিকা এবং তাদের সংশ্লিষ্ট পেমেন্ট সিস্টেম

স্নিফার ইউআরএল	পরিশোধ পদ্ধতি
reactjsapi.com/react.js	Authorize.Net
ajaxstatic.com/api.js?v=2.1.1	কার্ডসেভ
ajaxstatic.com/api.js?v=2.1.2	Authorize.Net
ajaxstatic.com/api.js?v=2.1.3	Authorize.Net
ajaxstatic.com/api.js?v=2.1.4	eWAY দ্রুত
ajaxstatic.com/api.js?v=2.1.5	Authorize.Net
ajaxstatic.com/api.js?v=2.1.6	Adyen
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	Authorize.Net
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	Authorize.Net
apitstatus.com/api.js?v=2.1.3	মোনারিস
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	পেপ্যাল
apitstatus.com/api.js?v=2.1.7	ঋষি বেতন
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	পেপ্যাল
apitstatus.com/api.js?v=2.3.0	ডোরা
apitstatus.com/api.js?v=3.0.2	রিয়েলেক্স
apitstatus.com/api.js?v=3.0.3	পেপ্যাল
apitstatus.com/api.js?v=3.0.4	লিঙ্কপয়েন্ট
apitstatus.com/api.js?v=3.0.5	পেপ্যাল
apitstatus.com/api.js?v=3.0.7	পেপ্যাল
apitstatus.com/api.js?v=3.0.8	ডেটাক্যাশ
apitstatus.com/api.js?v=3.0.9	পেপ্যাল
asianfoodgracer.com/footer.js	Authorize.Net
billgetstatus.com/api.js?v=1.2	Authorize.Net
billgetstatus.com/api.js?v=1.3	Authorize.Net
billgetstatus.com/api.js?v=1.4	Authorize.Net
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	Authorize.Net
billgetstatus.com/api.js?v=1.7	মোনারিস
billgetstatus.com/api.js?v=1.8	ঋষি বেতন
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	Authorize.Net
cloudodesc.com/gtm.js?v=1.2	Authorize.Net
cloudodesc.com/gtm.js?v=1.3	এএনজেড ইগেট
cloudodesc.com/gtm.js?v=2.3	Authorize.Net
cloudodesc.com/gtm.js?v=2.4	মোনারিস
cloudodesc.com/gtm.js?v=2.6	ঋষি বেতন
cloudodesc.com/gtm.js?v=2.7	ঋষি বেতন
cloudodesc.com/gtm.js?v=2.8	পেজেনটেক চেজ করুন
cloudodesc.com/gtm.js?v=2.9	Authorize.Net
cloudodesc.com/gtm.js?v=2.91	Adyen
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	সাইবার সোর্স
cloudodesc.com/gtm.js?v=2.95	এএনজেড ইগেট
cloudodesc.com/gtm.js?v=2.97	রিয়েলেক্স
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	Authorize.Net
gtmproc.com/gtm.js?v=1.2	Authorize.Net
gtmproc.com/gtm.js?v=1.3	এএনজেড ইগেট
gtmproc.com/gtm.js?v=1.5	পেপ্যাল
gtmproc.com/gtm.js?v=1.6	পেপ্যাল
gtmproc.com/gtm.js?v=1.7	রিয়েলেক্স
livecheckpay.com/api.js?v=2.0	ঋষি বেতন
livecheckpay.com/api.js?v=2.1	পেপ্যাল
livecheckpay.com/api.js?v=2.2	Verisign
livecheckpay.com/api.js?v=2.3	Authorize.Net
livecheckpay.com/api.js?v=2.4	Verisign
livecheckpay.com/react.js	Authorize.Net
livegetpay.com/pay.js?v=2.1.2	এএনজেড ইগেট
livegetpay.com/pay.js?v=2.1.3	পেপ্যাল
livegetpay.com/pay.js?v=2.1.5	সাইবার সোর্স
livegetpay.com/pay.js?v=2.1.7	Authorize.Net
livegetpay.com/pay.js?v=2.1.8	ঋষি বেতন
livegetpay.com/pay.js?v=2.1.9	রিয়েলেক্স
livegetpay.com/pay.js?v=2.2.0	সাইবার সোর্স
livegetpay.com/pay.js?v=2.2.1	পেপ্যাল
livegetpay.com/pay.js?v=2.2.2	পেপ্যাল
livegetpay.com/pay.js?v=2.2.3	পেপ্যাল
livegetpay.com/pay.js?v=2.2.4	Verisign
livegetpay.com/pay.js?v=2.2.5	eWAY দ্রুত
livegetpay.com/pay.js?v=2.2.7	ঋষি বেতন
livegetpay.com/pay.js?v=2.2.8	ঋষি বেতন
livegetpay.com/pay.js?v=2.2.9	Verisign
livegetpay.com/pay.js?v=2.3.0	Authorize.Net
livegetpay.com/pay.js?v=2.3.1	Authorize.Net
livegetpay.com/pay.js?v=2.3.2	প্রথম ডেটা গ্লোবাল গেটওয়ে
livegetpay.com/pay.js?v=2.3.3	Authorize.Net
livegetpay.com/pay.js?v=2.3.4	Authorize.Net
livegetpay.com/pay.js?v=2.3.5	মোনারিস
livegetpay.com/pay.js?v=2.3.6	Authorize.Net
livegetpay.com/pay.js?v=2.3.8	পেপ্যাল
livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	Authorize.Net
mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	পেপ্যাল
mxcounter.com/c.js?v=1.3	Authorize.Net
mxcounter.com/c.js?v=1.4	ডোরা
mxcounter.com/c.js?v=1.6	Authorize.Net
mxcounter.com/c.js?v=1.7	eWAY দ্রুত
mxcounter.com/c.js?v=1.8	ঋষি বেতন
mxcounter.com/c.js?v=2.0	Authorize.Net
mxcounter.com/c.js?v=2.1	ব্রেংট্রী
mxcounter.com/c.js?v=2.10	ব্রেংট্রী
mxcounter.com/c.js?v=2.2	পেপ্যাল
mxcounter.com/c.js?v=2.3	ঋষি বেতন
mxcounter.com/c.js?v=2.31	ঋষি বেতন
mxcounter.com/c.js?v=2.32	Authorize.Net
mxcounter.com/c.js?v=2.33	পেপ্যাল
mxcounter.com/c.js?v=2.34	Authorize.Net
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	পেপ্যাল
mxcounter.com/click.js?v=1.3	Authorize.Net
mxcounter.com/click.js?v=1.4	ডোরা
mxcounter.com/click.js?v=1.6	Authorize.Net
mxcounter.com/click.js?v=1.7	eWAY দ্রুত
mxcounter.com/click.js?v=1.8	ঋষি বেতন
mxcounter.com/click.js?v=2.0	Authorize.Net
mxcounter.com/click.js?v=2.1	ব্রেংট্রী
mxcounter.com/click.js?v=2.2	পেপ্যাল
mxcounter.com/click.js?v=2.3	ঋষি বেতন
mxcounter.com/click.js?v=2.31	ঋষি বেতন
mxcounter.com/click.js?v=2.32	Authorize.Net
mxcounter.com/click.js?v=2.33	পেপ্যাল
mxcounter.com/click.js?v=2.34	Authorize.Net
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	Authorize.Net
mxcounter.com/j.js	Authorize.Net
newrelicnet.com/api.js?v=1.2	Authorize.Net
newrelicnet.com/api.js?v=1.4	Authorize.Net
newrelicnet.com/api.js?v=1.8	ঋষি বেতন
newrelicnet.com/api.js?v=4.5	ঋষি বেতন
newrelicnet.com/api.js?v=4.6	ওয়েস্টপ্যাক পেওয়ে
nr-public.com/api.js?v=2.0	পেফোর্ট
nr-public.com/api.js?v=2.1	পেপ্যাল
nr-public.com/api.js?v=2.2	Authorize.Net
nr-public.com/api.js?v=2.3	ডোরা
nr-public.com/api.js?v=2.4	প্রথম ডেটা গ্লোবাল গেটওয়ে
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Authorize.Net
nr-public.com/api.js?v=2.7	Authorize.Net
nr-public.com/api.js?v=2.8	মোনারিস
nr-public.com/api.js?v=2.9	Authorize.Net
nr-public.com/api.js?v=3.1	ঋষি বেতন
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	মোনারিস
nr-public.com/api.js?v=3.5	পেপ্যাল
nr-public.com/api.js?v=3.6	লিঙ্কপয়েন্ট
nr-public.com/api.js?v=3.7	ওয়েস্টপ্যাক পেওয়ে
nr-public.com/api.js?v=3.8	Authorize.Net
nr-public.com/api.js?v=4.0	মোনারিস
nr-public.com/api.js?v=4.0.2	পেপ্যাল
nr-public.com/api.js?v=4.0.3	Adyen
nr-public.com/api.js?v=4.0.4	পেপ্যাল
nr-public.com/api.js?v=4.0.5	Authorize.Net
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	ইবিজচার্জ
nr-public.com/api.js?v=4.0.8	Authorize.Net
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	Authorize.Net
ordercheckpays.com/api.js?v=2.12	পেপ্যাল
ordercheckpays.com/api.js?v=2.13	মোনারিস
ordercheckpays.com/api.js?v=2.14	Authorize.Net
ordercheckpays.com/api.js?v=2.15	পেপ্যাল
ordercheckpays.com/api.js?v=2.16	পেপ্যাল
ordercheckpays.com/api.js?v=2.17	ওয়েস্টপ্যাক পেওয়ে
ordercheckpays.com/api.js?v=2.18	Authorize.Net
ordercheckpays.com/api.js?v=2.19	Authorize.Net
ordercheckpays.com/api.js?v=2.21	ঋষি বেতন
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	Authorize.Net
ordercheckpays.com/api.js?v=2.24	পেপ্যাল
ordercheckpays.com/api.js?v=2.25	পেফোর্ট
ordercheckpays.com/api.js?v=2.29	সাইবার সোর্স
ordercheckpays.com/api.js?v=2.4	পেপ্যাল ​​পেফ্লো প্রো
ordercheckpays.com/api.js?v=2.7	Authorize.Net
ordercheckpays.com/api.js?v=2.8	Authorize.Net
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	Authorize.Net
ordercheckpays.com/api.js?v=3.2	Authorize.Net
ordercheckpays.com/api.js?v=3.3	ঋষি বেতন
ordercheckpays.com/api.js?v=3.4	Authorize.Net
ordercheckpays.com/api.js?v=3.5	ডোরা
ordercheckpays.com/api.js?v=3.6	Authorize.Net
ordercheckpays.com/api.js?v=3.7	Authorize.Net
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	পেপ্যাল
ordercheckpays.com/api.js?v=4.0	Authorize.Net
ordercheckpays.com/api.js?v=4.1	Authorize.Net
ordercheckpays.com/api.js?v=4.2	ঋষি বেতন
ordercheckpays.com/api.js?v=4.3	Authorize.Net
reactjsapi.com/api.js?v=0.1.0	Authorize.Net
reactjsapi.com/api.js?v=0.1.1	পেপ্যাল
reactjsapi.com/api.js?v=4.1.2	চকমকি পাথর
reactjsapi.com/api.js?v=4.1.4	পেপ্যাল
reactjsapi.com/api.js?v=4.1.5	ঋষি বেতন
reactjsapi.com/api.js?v=4.1.51	Verisign
reactjsapi.com/api.js?v=4.1.6	Authorize.Net
reactjsapi.com/api.js?v=4.1.7	Authorize.Net
reactjsapi.com/api.js?v=4.1.8	ডোরা
reactjsapi.com/api.js?v=4.1.9	মোটা জেব্রা
reactjsapi.com/api.js?v=4.2.0	ঋষি বেতন
reactjsapi.com/api.js?v=4.2.1	Authorize.Net
reactjsapi.com/api.js?v=4.2.2	প্রথম ডেটা গ্লোবাল গেটওয়ে
reactjsapi.com/api.js?v=4.2.3	Authorize.Net
reactjsapi.com/api.js?v=4.2.4	eWAY দ্রুত
reactjsapi.com/api.js?v=4.2.5	Adyen
reactjsapi.com/api.js?v=4.2.7	পেপ্যাল
reactjsapi.com/api.js?v=4.2.8	কুইকবুকস মার্চেন্ট পরিষেবাদি
reactjsapi.com/api.js?v=4.2.9	Verisign
reactjsapi.com/api.js?v=4.2.91	ঋষি বেতন
reactjsapi.com/api.js?v=4.2.92	Verisign
reactjsapi.com/api.js?v=4.2.94	Authorize.Net
reactjsapi.com/api.js?v=4.3.97	Authorize.Net
reactjsapi.com/api.js?v=4.5	ঋষি বেতন
reactjsapi.com/react.js	Authorize.Net
sydneysalonsupplies.com/gtm.js	eWAY দ্রুত
tagsmediaget.com/react.js	Authorize.Net
tagstracking.com/tag.js?v=2.1.2	এএনজেড ইগেট
tagstracking.com/tag.js?v=2.1.3	পেপ্যাল
tagstracking.com/tag.js?v=2.1.5	সাইবার সোর্স
tagstracking.com/tag.js?v=2.1.7	Authorize.Net
tagstracking.com/tag.js?v=2.1.8	ঋষি বেতন
tagstracking.com/tag.js?v=2.1.9	রিয়েলেক্স
tagstracking.com/tag.js?v=2.2.0	সাইবার সোর্স
tagstracking.com/tag.js?v=2.2.1	পেপ্যাল
tagstracking.com/tag.js?v=2.2.2	পেপ্যাল
tagstracking.com/tag.js?v=2.2.3	পেপ্যাল
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	eWAY দ্রুত
tagstracking.com/tag.js?v=2.2.7	ঋষি বেতন
tagstracking.com/tag.js?v=2.2.8	ঋষি বেতন
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	Authorize.Net
tagstracking.com/tag.js?v=2.3.1	Authorize.Net
tagstracking.com/tag.js?v=2.3.2	প্রথম ডেটা গ্লোবাল গেটওয়ে
tagstracking.com/tag.js?v=2.3.3	Authorize.Net
tagstracking.com/tag.js?v=2.3.4	Authorize.Net
tagstracking.com/tag.js?v=2.3.5	মোনারিস
tagstracking.com/tag.js?v=2.3.6	Authorize.Net
tagstracking.com/tag.js?v=2.3.8	পেপ্যাল

পাসওয়ার্ড স্নিফার

একটি ওয়েবসাইটের ক্লায়েন্ট সাইডে কাজ করে জাভাস্ক্রিপ্ট স্নিফারের সুবিধাগুলির মধ্যে একটি হল তাদের বহুমুখিতা: একটি ওয়েবসাইটে এম্বেড করা দূষিত কোড যেকোনো ধরনের ডেটা চুরি করতে পারে, তা পেমেন্ট ডেটা বা ব্যবহারকারীর অ্যাকাউন্টের লগইন এবং পাসওয়ার্ড হতে পারে। গ্রুপ-আইবি বিশেষজ্ঞরা ReactGet পরিবারের অন্তর্গত একটি স্নিফারের একটি নমুনা আবিষ্কার করেছেন, যা সাইট ব্যবহারকারীদের ইমেল ঠিকানা এবং পাসওয়ার্ড চুরি করার জন্য ডিজাইন করা হয়েছে।

ImageID স্নিফারের সাথে ছেদ

সংক্রামিত স্টোরগুলির একটির বিশ্লেষণের সময়, এটি পাওয়া গেছে যে এর সাইটটি দুবার সংক্রামিত হয়েছিল: রিএক্টগেট ফ্যামিলি স্নিফারের দূষিত কোড ছাড়াও, ইমেজআইডি ফ্যামিলি স্নিফারের কোড সনাক্ত করা হয়েছিল। এই ওভারল্যাপটি প্রমাণ হতে পারে যে উভয় স্নিফারের পিছনে অপারেটররা দূষিত কোড ইনজেকশন করার জন্য একই কৌশল ব্যবহার করে।

ইউনিভার্সাল স্নিফার

ReactGet sniffer পরিকাঠামোর সাথে যুক্ত ডোমেন নামের একটির বিশ্লেষণে দেখা গেছে যে একই ব্যবহারকারী তিনটি অন্য ডোমেন নাম নিবন্ধন করেছেন। এই তিনটি ডোমেন বাস্তব জীবনের ওয়েবসাইটের ডোমেন অনুকরণ করে এবং আগে স্নিফার হোস্ট করতে ব্যবহৃত হত। তিনটি বৈধ সাইটের কোড বিশ্লেষণ করার সময়, একটি অজানা স্নিফার সনাক্ত করা হয়েছিল, এবং আরও বিশ্লেষণে দেখা গেছে যে এটি ReactGet স্নিফারের একটি উন্নত সংস্করণ। স্নিফারের এই পরিবারের পূর্বে নিরীক্ষণ করা সমস্ত সংস্করণের লক্ষ্য ছিল একটি একক অর্থপ্রদান ব্যবস্থা, অর্থাৎ প্রতিটি পেমেন্ট সিস্টেমের জন্য স্নিফারের একটি বিশেষ সংস্করণ প্রয়োজন। যাইহোক, এই ক্ষেত্রে, স্নিফারের একটি সার্বজনীন সংস্করণ আবিষ্কৃত হয়েছে যা অনলাইন পেমেন্ট করার জন্য 15টি বিভিন্ন পেমেন্ট সিস্টেম এবং ই-কমার্স সাইটগুলির মডিউল সম্পর্কিত ফর্মগুলি থেকে তথ্য চুরি করতে সক্ষম।

সুতরাং, কাজের শুরুতে, স্নিফার শিকারের ব্যক্তিগত তথ্য সম্বলিত মৌলিক ফর্ম ক্ষেত্রগুলি অনুসন্ধান করেছিল: পুরো নাম, শারীরিক ঠিকানা, ফোন নম্বর।

তারপর স্নিফার বিভিন্ন পেমেন্ট সিস্টেম এবং অনলাইন পেমেন্ট মডিউলের সাথে সম্পর্কিত 15টিরও বেশি উপসর্গ অনুসন্ধান করেছে।

এরপরে, শিকারের ব্যক্তিগত ডেটা এবং অর্থপ্রদানের তথ্য একসাথে সংগ্রহ করা হয়েছিল এবং আক্রমণকারী দ্বারা নিয়ন্ত্রিত একটি সাইটে পাঠানো হয়েছিল: এই বিশেষ ক্ষেত্রে, সার্বজনীন ReactGet স্নিফারের দুটি সংস্করণ আবিষ্কার করা হয়েছিল, দুটি ভিন্ন হ্যাক করা সাইটে অবস্থিত। যাইহোক, উভয় সংস্করণ একই হ্যাক করা সাইটে চুরি করা ডেটা পাঠিয়েছে zoobashop.com.

শিকারের অর্থপ্রদানের তথ্য সম্বলিত ক্ষেত্রগুলি অনুসন্ধান করার জন্য স্নিফার ব্যবহার করা উপসর্গগুলির বিশ্লেষণ আমাদের নির্ধারণ করতে দেয় যে এই স্নিফার নমুনাটি নিম্নলিখিত অর্থপ্রদান ব্যবস্থাগুলির লক্ষ্য ছিল:

• Authorize.Net
• Verisign
• প্রথম তথ্য
• USAePay
• ডোরা
• পেপ্যাল
• এএনজেড ইগেট
• ব্রেংট্রী
• ডেটাক্যাশ (মাস্টারকার্ড)
• রিয়েলেক্স পেমেন্টস
• PsiGate
• হার্টল্যান্ড পেমেন্ট সিস্টেম

অর্থপ্রদানের তথ্য চুরি করতে কোন টুল ব্যবহার করা হয়?

আক্রমণকারীদের পরিকাঠামোর বিশ্লেষণের সময় আবিষ্কৃত প্রথম টুলটি ব্যাঙ্ক কার্ড চুরির জন্য দায়ী দূষিত স্ক্রিপ্টগুলিকে অস্পষ্ট করতে ব্যবহৃত হয়। আক্রমণকারীর হোস্টগুলির একটিতে প্রকল্পের CLI ব্যবহার করে একটি ব্যাশ স্ক্রিপ্ট আবিষ্কৃত হয়েছে javascript-obfuscator স্নিফার কোডের অস্পষ্টতা স্বয়ংক্রিয় করতে।

দ্বিতীয় আবিষ্কৃত টুলটি প্রধান স্নিফার লোড করার জন্য দায়ী কোড তৈরি করার জন্য ডিজাইন করা হয়েছে। এই টুলটি জাভাস্ক্রিপ্ট কোড তৈরি করে যা স্ট্রিংগুলির জন্য ব্যবহারকারীর বর্তমান ঠিকানা অনুসন্ধান করে ব্যবহারকারী অর্থপ্রদানের পৃষ্ঠায় আছে কিনা তা পরীক্ষা করে। চেকআউট, কার্ট এবং তাই, এবং যদি ফলাফল ইতিবাচক হয়, তাহলে কোডটি আক্রমণকারীদের সার্ভার থেকে প্রধান স্নিফার লোড করে। দূষিত কার্যকলাপ লুকাতে, অর্থপ্রদানের পৃষ্ঠা নির্ধারণের পরীক্ষা লাইন সহ সমস্ত লাইন, সেইসাথে স্নিফারের একটি লিঙ্ক ব্যবহার করে এনকোড করা হয় base64.

ফিশিং আক্রমণ

আক্রমণকারীদের নেটওয়ার্ক পরিকাঠামোর একটি বিশ্লেষণ প্রকাশ করেছে যে অপরাধী গোষ্ঠী প্রায়শই টার্গেট অনলাইন স্টোরের প্রশাসনিক প্যানেলে অ্যাক্সেস পেতে ফিশিং ব্যবহার করে। আক্রমণকারীরা একটি ডোমেন নিবন্ধন করে যা দৃশ্যত একটি দোকানের ডোমেনের অনুরূপ, এবং তারপর এটিতে একটি নকল Magento প্রশাসন প্যানেল লগইন ফর্ম স্থাপন করে৷ সফল হলে, আক্রমণকারীরা Magento CMS-এর প্রশাসনিক প্যানেলে অ্যাক্সেস লাভ করবে, যা তাদের ওয়েবসাইটের উপাদানগুলি সম্পাদনা করার এবং ক্রেডিট কার্ড ডেটা চুরি করার জন্য একটি স্নিফার প্রয়োগ করার সুযোগ দেয়৷

পরিকাঠামো

ডোমেন নাম	আবিষ্কার/আবির্ভাব তারিখ
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

জি-অ্যানালিটিক্স পরিবার

স্নিফারদের এই পরিবারটি অনলাইন স্টোর থেকে গ্রাহক কার্ড চুরি করতে ব্যবহৃত হয়। গোষ্ঠীর দ্বারা ব্যবহৃত প্রথম ডোমেন নামটি এপ্রিল 2016 এ নিবন্ধিত হয়েছিল, যা ইঙ্গিত করতে পারে যে গ্রুপটি 2016-এর মাঝামাঝি সময়ে কার্যকলাপ শুরু করেছিল।

বর্তমান প্রচারাভিযানে, গ্রুপটি ডোমেইন নাম ব্যবহার করে যা বাস্তব জীবনের পরিষেবাগুলি অনুকরণ করে, যেমন Google Analytics এবং jQuery, বৈধ স্ক্রিপ্ট এবং বৈধ স্ক্রিপ্টগুলির মতো ডোমেন নামগুলির সাথে স্নিফারদের কার্যকলাপকে মাস্ক করে৷ Magento CMS চালানোর সাইট আক্রমণ করা হয়েছে.

কিভাবে G-Analytics একটি অনলাইন স্টোরের কোডে প্রয়োগ করা হয়

এই পরিবারের একটি স্বতন্ত্র বৈশিষ্ট্য হল ব্যবহারকারীর অর্থপ্রদানের তথ্য চুরি করার জন্য বিভিন্ন পদ্ধতির ব্যবহার। সাইটের ক্লায়েন্ট সাইডে জাভাস্ক্রিপ্ট কোডের ক্লাসিক ইনজেকশন ছাড়াও, অপরাধী গোষ্ঠী সাইটের সার্ভার সাইডে কোড ইনজেকশন কৌশলও ব্যবহার করত, যেমন পিএইচপি স্ক্রিপ্ট যা ব্যবহারকারীর প্রবেশ করা ডেটা প্রক্রিয়া করে। এই কৌশলটি বিপজ্জনক কারণ এটি তৃতীয় পক্ষের গবেষকদের জন্য ক্ষতিকারক কোড সনাক্ত করা কঠিন করে তোলে। গ্রুপ-আইবি বিশেষজ্ঞরা একটি ডোমেনকে গেট হিসাবে ব্যবহার করে সাইটের পিএইচপি কোডে এমবেড করা স্নিফারের একটি সংস্করণ আবিষ্কার করেছেন dittm.org.

একটি স্নিফারের একটি প্রাথমিক সংস্করণও আবিষ্কৃত হয়েছিল যা চুরি করা ডেটা সংগ্রহ করতে একই ডোমেন ব্যবহার করে dittm.org, কিন্তু এই সংস্করণটি একটি অনলাইন স্টোরের ক্লায়েন্ট সাইডে ইনস্টলেশনের উদ্দেশ্যে।

গোষ্ঠীটি পরে তার কৌশল পরিবর্তন করে এবং দূষিত কার্যকলাপ এবং ছদ্মবেশ লুকানোর উপর আরও মনোযোগ দিতে শুরু করে।

2017 এর শুরুতে, গ্রুপটি ডোমেইন ব্যবহার করা শুরু করে jquery-js.com, jQuery-এর জন্য একটি CDN হিসাবে মাস্করাডিং: আক্রমণকারীদের সাইটে যাওয়ার সময়, ব্যবহারকারীকে একটি বৈধ সাইটে পুনঃনির্দেশিত করা হয় jquery.com.

এবং 2018 সালের মাঝামাঝি সময়ে, গ্রুপটি ডোমেন নামটি গ্রহণ করে g-analytics.com এবং স্নিফারের কার্যকলাপকে একটি বৈধ Google Analytics পরিষেবা হিসাবে ছদ্মবেশ ধারণ করতে শুরু করে৷

সংস্করণ বিশ্লেষণ

স্নিফার কোড সংরক্ষণের জন্য ব্যবহৃত ডোমেনগুলির বিশ্লেষণের সময়, এটি পাওয়া গেছে যে সাইটটিতে প্রচুর সংখ্যক সংস্করণ রয়েছে, যা অস্পষ্টতার উপস্থিতি এবং সেইসাথে মনোযোগ বিভ্রান্ত করার জন্য ফাইলে যোগ করা অযোগ্য কোডের উপস্থিতি বা অনুপস্থিতিতে ভিন্ন। এবং দূষিত কোড লুকান।

সাইটে মোট jquery-js.com স্নিফারের ছয়টি সংস্করণ সনাক্ত করা হয়েছিল। এই স্নিফাররা চুরি করা ডেটা স্নিফারের মতো একই ওয়েবসাইটে অবস্থিত ঠিকানায় পাঠায়: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

পরে ডোমেইন g-analytics.com, 2018-এর মাঝামাঝি থেকে আক্রমণে গোষ্ঠী দ্বারা ব্যবহৃত, আরও স্নিফারের জন্য একটি ভান্ডার হিসাবে কাজ করে৷ মোট, স্নিফারের 16 টি ভিন্ন সংস্করণ আবিষ্কৃত হয়েছে। এই ক্ষেত্রে, চুরি করা ডেটা পাঠানোর গেটটি একটি চিত্র বিন্যাসের লিঙ্ক হিসাবে ছদ্মবেশে ছিল জিআইএফ: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

চুরি করা ডেটার নগদীকরণ

অপরাধী গোষ্ঠী একটি বিশেষভাবে তৈরি আন্ডারগ্রাউন্ড স্টোরের মাধ্যমে কার্ড বিক্রি করে চুরি করা ডেটা নগদীকরণ করে যা কার্ডারদের পরিষেবা প্রদান করে। আক্রমণকারীদের দ্বারা ব্যবহৃত ডোমেনগুলির বিশ্লেষণ আমাদের তা নির্ধারণ করতে দেয়৷ google-analytics.cm ডোমেনের মতো একই ব্যবহারকারী দ্বারা নিবন্ধিত হয়েছিল৷ cardz.vc. ডোমেইন cardz.vc একটি দোকান যা চুরি হওয়া ব্যাঙ্ক কার্ড কার্ডসার্ফস (ফ্লাইসার্ফস) বিক্রি করে, যেটি স্নিফার ব্যবহার করে চুরি করা ব্যাঙ্ক কার্ড বিক্রির দোকান হিসাবে আন্ডারগ্রাউন্ড ট্রেডিং প্ল্যাটফর্ম AlphaBay-এর কার্যকলাপের দিনগুলিতে জনপ্রিয়তা অর্জন করে।

ডোমেইন বিশ্লেষণ করা হচ্ছে analytical.is, চুরি করা ডেটা সংগ্রহ করার জন্য স্নিফারদের দ্বারা ব্যবহৃত ডোমেনগুলির মতো একই সার্ভারে অবস্থিত, গ্রুপ-আইবি বিশেষজ্ঞরা কুকি স্টিলার লগ সম্বলিত একটি ফাইল আবিষ্কার করেছেন, যা পরে বিকাশকারী দ্বারা পরিত্যক্ত হয়েছে বলে মনে হয়৷ লগের একটি এন্ট্রিতে একটি ডোমেন রয়েছে৷ iozoz.com, যা আগে 2016 সালে সক্রিয় স্নিফারগুলির একটিতে ব্যবহৃত হয়েছিল। সম্ভবত, এই ডোমেনটি আগে আক্রমণকারী একটি স্নিফার ব্যবহার করে চুরি করা কার্ড সংগ্রহ করতে ব্যবহার করেছিল। এই ডোমেনটি একটি ইমেল ঠিকানায় নিবন্ধিত ছিল৷ [ইমেল সুরক্ষিত], যা ডোমেন নিবন্ধন করতেও ব্যবহৃত হত cardz.su и cardz.vc, কার্ডিং স্টোর কার্ডসার্ফস সম্পর্কিত।

প্রাপ্ত তথ্যের উপর ভিত্তি করে, এটি অনুমান করা যেতে পারে যে স্নিফারের G-Analytics পরিবার এবং ব্যাঙ্ক কার্ড কার্ডসার্ফ বিক্রিকারী আন্ডারগ্রাউন্ড স্টোর একই ব্যক্তিদের দ্বারা পরিচালিত হয় এবং স্টোরটি স্নিফার ব্যবহার করে চুরি হওয়া ব্যাঙ্ক কার্ড বিক্রি করতে ব্যবহৃত হয়।

পরিকাঠামো

ডোমেন নাম	আবিষ্কার/আবির্ভাব তারিখ
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytical.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
analytical.is	28.12.2018
googlc-analytics.cm	17.01.2019

ইলম পরিবার

Illum হল স্নিফারদের একটি পরিবার যা Magento CMS চালানোর অনলাইন স্টোরগুলিতে আক্রমণ করতে ব্যবহৃত হয়। দূষিত কোড প্রবর্তন করার পাশাপাশি, এই স্নিফারের অপারেটররা সম্পূর্ণ জাল পেমেন্ট ফর্মের প্রবর্তনও ব্যবহার করে যা আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত গেটে ডেটা পাঠায়।

এই স্নিফারের অপারেটরদের দ্বারা ব্যবহৃত নেটওয়ার্ক পরিকাঠামো বিশ্লেষণ করার সময়, প্রচুর পরিমাণে দূষিত স্ক্রিপ্ট, শোষণ, জাল অর্থপ্রদানের ফর্ম, সেইসাথে প্রতিযোগীদের কাছ থেকে দূষিত স্নিফার সহ উদাহরণগুলির একটি সংগ্রহ উল্লেখ করা হয়েছিল। গোষ্ঠীর দ্বারা ব্যবহৃত ডোমেন নামগুলির উপস্থিতির তারিখ সম্পর্কে তথ্যের ভিত্তিতে, এটি অনুমান করা যেতে পারে যে প্রচারটি 2016 এর শেষে শুরু হয়েছিল।

কিভাবে Illum একটি অনলাইন স্টোরের কোডে প্রয়োগ করা হয়

আবিষ্কৃত স্নিফারের প্রথম সংস্করণগুলি আপস করা সাইটের কোডে সরাসরি এম্বেড করা হয়েছিল। চুরি করা তথ্য পাঠানো হয়েছে cdn.illum[.]pw/records.php, গেট ব্যবহার করে এনকোড করা হয়েছিল base64.

পরে, স্নিফারের একটি প্যাকেজ সংস্করণ আবিষ্কৃত হয় যা একটি ভিন্ন গেট ব্যবহার করে - records.nstatistics[.]com/records.php.

অনুযায়ী রিপোর্ট উইলেম ডি গ্রুট, একই হোস্ট স্নিফারে ব্যবহার করা হয়েছিল, যা প্রয়োগ করা হয়েছিল দোকান ওয়েবসাইট, জার্মান রাজনৈতিক দল CSU মালিকানাধীন.

আক্রমণকারীদের ওয়েবসাইট বিশ্লেষণ

গ্রুপ-আইবি বিশেষজ্ঞরা এই অপরাধী গোষ্ঠীর দ্বারা ব্যবহৃত সরঞ্জামগুলি সংরক্ষণ করতে এবং চুরি করা তথ্য সংগ্রহ করার জন্য একটি ওয়েবসাইট আবিষ্কার ও বিশ্লেষণ করেছেন।

আক্রমণকারীদের সার্ভারে পাওয়া সরঞ্জামগুলির মধ্যে লিনাক্স ওএস-এ বিশেষাধিকার বৃদ্ধির জন্য স্ক্রিপ্ট এবং শোষণ ছিল: উদাহরণস্বরূপ, মাইক সিজুমাক দ্বারা বিকাশিত লিনাক্স প্রিভিলেজ এসকেলেশন চেক স্ক্রিপ্ট, সেইসাথে CVE-2009-1185 এর জন্য একটি শোষণ।

আক্রমণকারীরা অনলাইন স্টোরগুলিতে আক্রমণ করার জন্য সরাসরি দুটি শোষণ ব্যবহার করেছিল: первый দূষিত কোড ইনজেকশন করতে সক্ষম core_config_data CVE-2016-4010 শোষণ করে, দ্বিতীয়টি CMS Magento-এর প্লাগইনগুলিতে একটি RCE দুর্বলতাকে কাজে লাগায়, যা একটি দুর্বল ওয়েব সার্ভারে নির্বিচারে কোড চালানোর অনুমতি দেয়।

এছাড়াও, সার্ভারের বিশ্লেষণের সময়, স্নিফারের বিভিন্ন নমুনা এবং জাল পেমেন্ট ফর্ম আবিষ্কৃত হয়েছে, যা আক্রমণকারীরা হ্যাক হওয়া সাইট থেকে অর্থপ্রদানের তথ্য সংগ্রহ করতে ব্যবহার করেছিল। আপনি নীচের তালিকা থেকে দেখতে পাচ্ছেন, প্রতিটি হ্যাক করা সাইটের জন্য কিছু স্ক্রিপ্ট পৃথকভাবে তৈরি করা হয়েছিল, যখন একটি সর্বজনীন সমাধান নির্দিষ্ট CMS এবং পেমেন্ট গেটওয়ের জন্য ব্যবহার করা হয়েছিল। উদাহরণস্বরূপ, স্ক্রিপ্ট segapay_standart.js и segapay_onpage.js সেজ পে পেমেন্ট গেটওয়ে ব্যবহার করে সাইটগুলিতে বাস্তবায়নের জন্য ডিজাইন করা হয়েছে।

বিভিন্ন পেমেন্ট গেটওয়ের জন্য স্ক্রিপ্টের তালিকা

লিপি	পেমেন্ট গেটওয়ে
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolengi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

নিমন্ত্রণকর্তা এখনই অর্থপ্রদান করুন, একটি স্ক্রিপ্ট একটি গেট হিসাবে ব্যবহৃত payment_forminsite.js, হিসাবে আবিষ্কৃত হয়েছিল subjectAltName CloudFlare পরিষেবার সাথে সম্পর্কিত বেশ কয়েকটি শংসাপত্রে। উপরন্তু, হোস্ট একটি স্ক্রিপ্ট রয়েছে evil.js. স্ক্রিপ্টের নাম অনুসারে, এটি CVE-2016-4010-এর শোষণের অংশ হিসাবে ব্যবহার করা যেতে পারে, যার কারণে এটি CMS Magento চলমান একটি সাইটের ফুটারে দূষিত কোড ইনজেকশন করা সম্ভব। হোস্ট একটি গেট হিসাবে এই স্ক্রিপ্ট ব্যবহার request.requestnet[.]tkহোস্ট হিসাবে একই শংসাপত্র ব্যবহার করে এখনই অর্থপ্রদান করুন.

জাল পেমেন্ট ফর্ম

নীচের চিত্রটি কার্ড ডেটা প্রবেশের জন্য একটি ফর্মের উদাহরণ দেখায়। এই ফর্মটি একটি অনলাইন স্টোরে অনুপ্রবেশ করতে এবং কার্ডের ডেটা চুরি করতে ব্যবহার করা হয়েছিল।

নিম্নলিখিত চিত্রটি একটি নকল PayPal পেমেন্ট ফর্মের একটি উদাহরণ দেখায় যা আক্রমণকারীরা এই পেমেন্ট পদ্ধতির মাধ্যমে সাইটগুলিতে অনুপ্রবেশ করতে ব্যবহার করেছিল৷

পরিকাঠামো

ডোমেন নাম	আবিষ্কার/আবির্ভাব তারিখ
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

কফিমোক্কো পরিবার

CoffeMokko ফ্যামিলি অফ স্নিফার, অনলাইন স্টোর ব্যবহারকারীদের থেকে ব্যাঙ্ক কার্ড চুরি করার জন্য ডিজাইন করা হয়েছে, অন্তত মে 2017 থেকে ব্যবহার করা হচ্ছে। সম্ভবত, স্নিফারদের এই পরিবারের অপারেটররা অপরাধী গ্রুপ গ্রুপ 1, 2016 সালে RiskIQ বিশেষজ্ঞদের দ্বারা বর্ণিত। ম্যাজেন্টো, ওপেনকার্ট, ওয়ার্ডপ্রেস, ওসকমার্স এবং শপিফাই-এর মতো সিএমএস চালিত সাইটগুলি আক্রমণ করা হয়েছিল।

কিভাবে CoffeMokko একটি অনলাইন স্টোরের কোডে প্রয়োগ করা হয়

এই পরিবারের অপারেটররা প্রতিটি সংক্রমণের জন্য অনন্য স্নিফার তৈরি করে: স্নিফার ফাইলটি ডিরেক্টরিতে অবস্থিত src বা js আক্রমণকারীদের সার্ভারে। সাইটের কোডে অন্তর্ভুক্তি স্নিফারের সরাসরি লিঙ্কের মাধ্যমে বাহিত হয়।

স্নিফার কোডটি ফর্ম ফিল্ডের নাম হার্ডকোড করে যেখান থেকে ডেটা চুরি করা প্রয়োজন৷ স্নিফার ব্যবহারকারীর বর্তমান ঠিকানার সাথে কীওয়ার্ডের তালিকা চেক করে ব্যবহারকারী পেমেন্ট পৃষ্ঠায় আছে কিনা তাও পরীক্ষা করে।

স্নিফারের কিছু আবিষ্কৃত সংস্করণ অস্পষ্ট ছিল এবং এতে একটি এনক্রিপ্ট করা স্ট্রিং ছিল যেখানে সংস্থানগুলির প্রধান অ্যারে সংরক্ষণ করা হয়েছিল: এতে বিভিন্ন অর্থপ্রদান সিস্টেমের জন্য ফর্ম ক্ষেত্রের নাম রয়েছে, সেইসাথে যে গেট ঠিকানাটি চুরি করা ডেটা পাঠানো উচিত তা রয়েছে৷

চুরি করা অর্থপ্রদানের তথ্য আক্রমণকারীদের সার্ভারে একটি স্ক্রিপ্টে পাঠানো হয়েছিল /savePayment/index.php বা /tr/index.php. সম্ভবত, এই স্ক্রিপ্টটি গেট থেকে প্রধান সার্ভারে ডেটা পাঠাতে ব্যবহৃত হয়, যা সমস্ত স্নিফার থেকে ডেটা একত্রিত করে। প্রেরিত ডেটা লুকানোর জন্য, শিকারের সমস্ত অর্থপ্রদানের তথ্য ব্যবহার করে এনক্রিপ্ট করা হয় base64, এবং তারপরে বেশ কয়েকটি অক্ষর প্রতিস্থাপন ঘটে:

• "e" অক্ষরটি ":" দিয়ে প্রতিস্থাপিত হয়েছে
• "w" চিহ্নটি "+" দিয়ে প্রতিস্থাপিত হয়েছে
• "o" অক্ষরটি "%" দিয়ে প্রতিস্থাপিত হয়েছে
• "d" অক্ষরটি "#" দিয়ে প্রতিস্থাপিত হয়েছে
• "a" অক্ষরটি "-" দিয়ে প্রতিস্থাপিত হয়েছে
• প্রতীক "7" প্রতিস্থাপিত হয় "^"
• "h" অক্ষরটি "_" দিয়ে প্রতিস্থাপিত হয়েছে
• "T" চিহ্নটি "@" দিয়ে প্রতিস্থাপিত হয়েছে
• "0" অক্ষরটি "/" দ্বারা প্রতিস্থাপিত হয়েছে
• "Y" অক্ষরটি "*" দিয়ে প্রতিস্থাপিত হয়েছে

ব্যবহার করে এনকোড করা অক্ষর প্রতিস্থাপনের ফলে base64 বিপরীত রূপান্তর সম্পাদন না করে ডেটা ডিকোড করা যাবে না।

স্নিফার কোডের একটি খণ্ড যা অস্পষ্ট করা হয়নি তা এইরকম দেখাচ্ছে:

অবকাঠামো বিশ্লেষণ

প্রারম্ভিক প্রচারাভিযানে, আক্রমণকারীরা বৈধ অনলাইন শপিং সাইটের মতো ডোমেন নাম নিবন্ধন করে। তাদের ডোমেন বৈধ এক একটি প্রতীক বা অন্য TLD থেকে ভিন্ন হতে পারে। নিবন্ধিত ডোমেনগুলি স্নিফার কোড সংরক্ষণ করতে ব্যবহার করা হয়েছিল, একটি লিঙ্ক যার সাথে স্টোর কোড এম্বেড করা হয়েছিল।

এই গ্রুপটি জনপ্রিয় jQuery প্লাগইনগুলির স্মরণ করিয়ে দেয় এমন ডোমেন নামও ব্যবহার করেছে (slickjs[.]org প্লাগইন ব্যবহার করে সাইটগুলির জন্য slick.js), পেমেন্ট গেটওয়ে (sagecdn[.]org সেজ পে পেমেন্ট সিস্টেম ব্যবহার করে সাইটগুলির জন্য)।

পরে, গ্রুপটি এমন ডোমেইন তৈরি করতে শুরু করে যেগুলির নামের সাথে স্টোরের ডোমেন বা স্টোরের থিমের কোন সম্পর্ক ছিল না।

প্রতিটি ডোমেন একটি সাইটের সাথে সম্পর্কিত যেখানে ডিরেক্টরিটি তৈরি করা হয়েছিল /জেএস বা / src. এই ডিরেক্টরিতে স্নিফার স্ক্রিপ্টগুলি সংরক্ষণ করা হয়েছিল: প্রতিটি নতুন সংক্রমণের জন্য একটি স্নিফার। স্নিফারটি একটি সরাসরি লিঙ্কের মাধ্যমে ওয়েবসাইটের কোডে এম্বেড করা হয়েছিল, কিন্তু বিরল ক্ষেত্রে, আক্রমণকারীরা ওয়েবসাইট ফাইলগুলির একটিকে সংশোধন করে এবং এতে দূষিত কোড যোগ করে।

কোড বিশ্লেষণ

প্রথম অস্পষ্টতা অ্যালগরিদম

এই পরিবারের কিছু স্নিফারের আবিষ্কৃত নমুনাগুলিতে, কোডটি অস্পষ্ট ছিল এবং স্নিফারের কাজ করার জন্য প্রয়োজনীয় এনক্রিপ্ট করা ডেটা ছিল: বিশেষত, স্নিফার গেটের ঠিকানা, পেমেন্ট ফর্মের ক্ষেত্রগুলির একটি তালিকা এবং কিছু ক্ষেত্রে, একটি জাল কোড পেমেন্ট ফর্ম ফাংশনের ভিতরে কোডে, সম্পদগুলি ব্যবহার করে এনক্রিপ্ট করা হয়েছিল XOR যাও একই ফাংশন একটি যুক্তি হিসাবে পাস করা হয়েছিল যে কী দ্বারা.

উপযুক্ত কী দিয়ে স্ট্রিংটিকে ডিক্রিপ্ট করে, প্রতিটি নমুনার জন্য অনন্য, আপনি একটি বিভাজক অক্ষর দ্বারা পৃথক করা স্নিফার কোড থেকে সমস্ত স্ট্রিং সমন্বিত একটি স্ট্রিং পেতে পারেন।

দ্বিতীয় অস্পষ্টকরণ অ্যালগরিদম

এই পরিবারের স্নিফারের পরবর্তী নমুনাগুলিতে, একটি ভিন্ন অস্পষ্টকরণ প্রক্রিয়া ব্যবহার করা হয়েছিল: এই ক্ষেত্রে, একটি স্ব-লিখিত অ্যালগরিদম ব্যবহার করে ডেটা এনক্রিপ্ট করা হয়েছিল। স্নিফারের কাজ করার জন্য প্রয়োজনীয় এনক্রিপ্ট করা ডেটা ধারণকারী একটি স্ট্রিং ডিক্রিপশন ফাংশনের যুক্তি হিসাবে পাস করা হয়েছিল।

ব্রাউজার কনসোল ব্যবহার করে, আপনি এনক্রিপ্ট করা ডেটা ডিক্রিপ্ট করতে পারেন এবং স্নিফার রিসোর্স ধারণকারী একটি অ্যারে পেতে পারেন।

প্রাথমিক ম্যাজকার্ট আক্রমণের সাথে সংযোগ

চুরি করা ডেটা সংগ্রহের গেটওয়ে হিসাবে গ্রুপ দ্বারা ব্যবহৃত ডোমেনগুলির একটির বিশ্লেষণের সময়, এটি পাওয়া গেছে যে এই ডোমেনটি ক্রেডিট কার্ড চুরির জন্য একটি পরিকাঠামো হোস্ট করেছে, যা প্রথম গ্রুপগুলির মধ্যে একটি গ্রুপ 1 দ্বারা ব্যবহৃত, আবিষ্কৃত RiskIQ বিশেষজ্ঞদের দ্বারা।

স্নিফারের কফিমোক্কো পরিবারের হোস্টে দুটি ফাইল পাওয়া গেছে:

• mage.js — গেট ঠিকানা সহ গ্রুপ 1 স্নিফার কোড ধারণকারী ফাইল js-cdn.link
• mag.php — পিএইচপি স্ক্রিপ্ট স্নিফার দ্বারা চুরি করা ডেটা সংগ্রহের জন্য দায়ী

mage.js ফাইলের বিষয়বস্তু
এটিও নির্ধারণ করা হয়েছিল যে স্নিফারের CoffeMokko পরিবারের পিছনে গোষ্ঠীর দ্বারা ব্যবহৃত প্রাচীনতম ডোমেনগুলি 17 মে, 2017 এ নিবন্ধিত হয়েছিল:

• link-js[.]লিঙ্ক
• info-js[.]লিঙ্ক
• ট্র্যাক-জেএস[.]লিঙ্ক
• ম্যাপ-জেএস[.]লিঙ্ক
• স্মার্ট-জেএস[.]লিঙ্ক

এই ডোমেন নামের বিন্যাস গ্রুপ 1 ডোমেন নামের সাথে মিলে যা 2016 আক্রমণে ব্যবহৃত হয়েছিল।

আবিষ্কৃত তথ্যের উপর ভিত্তি করে, এটি অনুমান করা যেতে পারে যে CoffeMokko স্নিফারের অপারেটর এবং অপরাধী গ্রুপ গ্রুপ 1 এর মধ্যে একটি সংযোগ রয়েছে। সম্ভবত, CoffeMokko অপারেটররা কার্ড চুরি করার জন্য তাদের পূর্বসূরিদের কাছ থেকে সরঞ্জাম এবং সফ্টওয়্যার ধার করতে পারে। যাইহোক, এটি সম্ভবত যে অপরাধী গোষ্ঠীটি কফিমোক্কো পরিবারের স্নিফার ব্যবহার করার পিছনে সেই একই লোক যারা গ্রুপ 1 আক্রমণ করেছিল৷ ব্লক করা হয়েছে এবং সরঞ্জামগুলি বিস্তারিতভাবে অধ্যয়ন করা হয়েছে এবং বর্ণনা করা হয়েছে। গোষ্ঠীটিকে বিরতি নিতে, তার অভ্যন্তরীণ সরঞ্জামগুলিকে পরিমার্জন করতে এবং আক্রমণ চালিয়ে যাওয়ার জন্য স্নিফার কোড পুনরায় লিখতে বাধ্য করা হয়েছিল এবং সনাক্ত করা হয়নি।

পরিকাঠামো

ডোমেন নাম	আবিষ্কার/আবির্ভাব তারিখ
link-js.link	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
security-payment.su	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
parks.su	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

উত্স: www.habr.com