Neli JavaScript-snifferit, mis varitsevad teid veebipoodides

Peaaegu igaüks meist kasutab veebipoodide teenuseid, mis tähendab, et varem või hiljem on oht saada JavaScript-snifferite ohvriks — erilise koodi, mille kurjategijad sisestavad veebisaidile, et varastada pangakaarditeavet, aadresse, kasutajaid ja salasõnu.

Snifferite tõttu on juba kannatanud peaaegu 400 000 kasutajat British Airways'i veebisaidilt ja mobiilirakendusest, samuti Briti spordigigandi FILA ja Ameerika pileti jaotaja Ticketmasteri külastajad. PayPal, Chase Paymenttech, USAePay, Moneris — need ja paljud teised maksesüsteemid on olnud nakatunud.

Threat Intelligence Group-IB analüütik Viktor Okorokov räägib, kuidas snifferid sisenevad veebisaidi koodisse ja varastavad makseinfot, samuti milliseid CRM-e nad ründavad.

«Peidetud oht»

Selgus, et pikka aega ei olnud JS-snifferid viirusetõrjeanalüütikute tähelepanu all ning pangad ja maksesüsteemid ei näinud neid tõsise ohuna. Ja täiesti asjatult. Group-IB eksperdid analüüsisid 2440 nakatunud veebipoodi, mille külastajad — kokku umbes 1,5 miljonit inimest päevas — olid kokkupuutes ohu all. Ohus on mitte ainult kasutajad, vaid ka veebipoed, maksesüsteemid ja pangad, kes on välja andnud kompromiteeritud kaarte.

Aruanne Group-IBi uuring on esimene teos, mis käsitleb dark net turgu snifferite, nende infrastruktuuri ja monetiseerimise viise, mis toovad nende loojatele miljoneid dollareid. Oleme tuvastanud 38 snifferi perekonda, millest vaid 12 oli varem teadlastele tuntud.

Vaatame lähemalt nelja snifferi perekonda, mida uurimise käigus analüüsiti.

Perekond ReactGet

ReactGeti peredeidud on mõeldud pangakaarditeabe varastamiseks veebipoe saitidelt. Sniffer võib töötada paljude erinevate maksesüsteemidega, mis on veebisaidil kasutusel: ühe parameetri väärtus vastab ühele maksesüsteemile, eraldi tuvastatud snifferi versioonid võivad aga kasutada kasutajate andmete varastamiseks ja pangakaarditeabe varastamiseks maksevormidest mitmest maksesüsteemist, nagu nn universaalne sniffer. On leitud, et mõnel juhul korraldavad ründajad kalastusrünnakuid veebipoodide administraatorite vastu, et pääseda ligi saidi halduspaneelile.

Selle snifferiperede kampaania algas 2017. aasta mais, rünnaku alla sattusid CMS-ide ja platvormide Magento, Bigcommerce, Shopify halduses olevad saidid.

Kuidas ReactGet veebipoe koodi integreeritakse

Lisaks "klassikalisele" skripti integreerimisele lingi kaudu kasutavad ReactGeti snifferi operaatorid erilist tehnikat: JavaScripti koodi abil kontrollitakse, kas kasutaja praegune aadress vastab teatud kriteeriumidele. Kahjulik kood käivitub ainult siis, kui praeguses URL-aadressis on alamstring checkout või onestepcheckout, onepage/, out/onepag, checkout/one, ckout/one. Nii käivitatakse snifferi kood just siis, kui kasutaja läheb ostude eest maksma ja sisestab makseteabe saidi vormi.

See sniffer kasutab mittestandardset tehnikat. Ohvri makse- ja isiklikud andmed kogutakse koos, kodeeritakse kasutades base64, ja seejärel kasutatakse saadud stringi parameetrina rünnakusaitidele päringu saatmiseks. Enamasti jäljendab rada ukse kaudu JavaScripti faili, näiteks resp.js, data.js ja nii edasi, kuid kasutatakse ka lingid pildivaadete jaoks, GIF ja JPG. Eripära on see, et sniffer loob 1x1 pikslise pildi objekti ja kasutab eelnevalt saadud linki parameetrina. src pildid. See tähendab, et kasutaja jaoks näeb see liiklusena välja nagu tavaline pildiotsing. Sarnast tehnikat kasutati ImageID perekonna nuhkimisseadmestikes. Lisaks kasutatakse 1x1 pikslise pildi tehnikat paljudes seaduslikes veebianalüütika skriptides, mis võib samuti kasutajat petta.

Versioonide analüüs

Aktiveeritud domeenide analüüs, mida kasutavad ReactGet nuhkimisseadmed, on võimaldanud avastada palju erinevaid versioone selle perekonna nuhkimisseadmest. Versioonid erinevad obfuskeeringu olemasolu poolest ning iga nuhkimisseade on mõeldud konkreetse maksesüsteemi jaoks, mis töötleb pangakaardiga tehinguid veebipoodide jaoks. Muutes versiooninumbri vastavaid parameetreid, on Group-IB eksperdid saanud täispika loetelu nuhkimisseadmest saadaval olevatest variatsioonidest ja vormiväljade nimede põhjal, mida iga nuhkimisseade lehe koodis otsib, on tuvastatud maksesüsteemid, millele nuhkimisseade on suunatud.

Nuhkimisseadmeste ja nende vastava maksesüsteemi loend

Parooli nuhkimisseade

Üks JavaScript nuhkimisseadmete eeliseid, mis töötavad kliendi poolel, on universaalsus: veebisaidile sisestatud pahavara suudab varastada mis tahes tüüpi andmeid, olgu need siis makseandmed või kasutaja konto sisselogimisandmed. Group-IB eksperdid avastasid nuhkimisseadmestiku, mis kuulub ReactGet perekonda, mis on mõeldud veebisaidi kasutajate e-posti aadresside ja paroolide varastamiseks.

Ristumised ImageID nuhkimisseadmest

Ühe nakatunud poe analüüsi käigus selgus, et selle veebisait oli nakatunud kaks korda: peale ReactGet nuhkimisseadmestiku pahavara avastati ka ImageID perekonna nuhkimisseadmestiku kood. See ristumine võib viidata sellele, et mõlemat nuhkimisseadet kasutavad operaatorid rakendavad sarnaseid tehnikaid pahavara sisestamiseks.

Universaalne nuhkimisseade

Ühe ReactGet snifferi infrastruktuuriga seotud domeeninime analüüsi käigus selgus, et sama kasutaja on registreerinud kolm muud domeeninime. Need kolm domeeni imiteerisid reaalselt olemasolevate veebisaitide domeene ja neid on varem kasutatud snifferite majutamiseks. Kolme legitiimse saidi koodi analüüsimisel tuvastati tundmatu sniffer ning edasine analüüs näitas, et see on täiustatud versioon ReactGet snifferist. Kõik varem jälitatud snifferite versioonid sellest suguharust olid suunatud kindlale maksesüsteemile, st iga maksesüsteemi jaoks oli vajalik eraldi snifferi versioon. Siiski tuvastati antud juhul universaalne snifferi versioon, mis suudab varastada teavet vormidest, mis on seotud 15 erineva maksesüsteemi ja e-kaubanduse saitide moodulitega online-maksete tegemiseks.

Nii hakkas sniffer alguses otsima põhi vormivälju, mis sisaldasid ohvri isikuandmeid: täisnimi, füüsiline aadress, telefoninumber.

Seejärel otsis sniffer enam kui 15 erineva eelneva kohta, mis vastasid erinevatele maksesüsteemidele ja e-maksete moodulitele.

Jätkates koguti ohvri isikuandmed ja maksetega seotud teave kokku ning saadeti kurjategijale kontrollitavale veebisaidile: antud juhul tuvastati kaks versiooni universaalsest ReactGet snifferist, mis asusid kahes erinevas häkitud saidis. Siiski saatsid mõlemad versioonid varastatud andmeid samale häkitud veebisaidile. zoobashop.com.

Snifferi poolt makseteave leidmiseks kasutatud eelneva analüüs võimaldas määrata, et see snifferite näidis oli suunatud järgmistele maksesüsteemidele:

• Authorize.Net
• Verisign
• First Data
• USAePay
• Stripe
• PayPal
• ANZ eGate
• Braintree
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• Heartland Payment Systems

Milliseid tööriistu kasutatakse makseteabe varastamiseks

Esimene tööriist, mis tuvastati ründajate infrastruktuuri analüüsi käigus, on mõeldud kurjategijate pangakaartide varguse tõttu loodud pahatahtlike skriptide obfuskatsiooniks. Ühel ründajate hostil tuvastati bash-skript, mis kasutab projekti CLI-d. javascript-obfuscator snifferi koodi obfuskatsiooni automatiseerimiseks.

Teine tuvastatud tööriist on mõeldud koodi genereerimiseks, mis vastutab peamise nuhkija laadimise eest. See tööriist genereerib JavaScripti koodi, mis kontrollib, kas kasutaja on makselehe peal, otsides kasutaja praeguses aadressis fraase checkout, ostukorv jne, ja kui tulemus on positiivne, laadib kood peamise nuhkija pahatahtlikku serverist. Kahjuliku tegevuse peitmiseks kõik fraasid, sealhulgas testkingitus makselehe määramiseks, samuti viide nuhkijale, on kodeeritud kasutades base64.

Phishingu rünnakud

Ründajate võrgu infrastruktuuri analüüsimisel leiti, et sageli kasutab kuritegelik grupp juurdepääsu saamiseks sihtmärgiks oleva veebipoe administreerimispaneeli sissetungimist. Ründajad registreerivad domeeni, mis meenutab poe domeeni, ja seejärel avavad sellel vale Magento administreerimise sisselogimise vormi. Eduka rünnaku korral pääsevad ründajad CMS Magento administreerimispaneeli, mis annab neile võimaluse redigeerida saidi komponente ja sisestada nuhkija krediitkaartide andmete varastamiseks.

Infrastruktuur

G-Analytics perekond

See nuhkijate perekond kasutatakse klientide kaartide varastamiseks veebipoodidest. Kõige esimene domeeninimi, mida grupp kasutas, registreeriti aprillis 2016, mis võib viidata grupi tegevuse algusele 2016. aasta keskpaiku.

Praeguses kampaanias kasutab grupp domeeninimesid, mis matkivad reaalselt eksisteerivaid teenuseid, nagu Google Analytics ja jQuery, maskeerides nuhkijate tegevust legitiimsete skriptide ja sarnaste autentsete domeeninimedega. Rünnaku all on olnud Magento CMS-i juhtimisel töötavad saidid.

Kuidas G-Analytics integreeritakse veebipoe koodiga

Selle perekonna iseloomulik joon on erinevate meetodite kasutamine kasutaja makseandmete varastamiseks. Peale klassikalise JavaScript-koodi sisestamise veebisaidi kliendi osasse, kasutas kuritegelik grupp ka meetodit koodi sisestamiseks veebisaidi serveri ossa, nimelt PHP-skripte, mis töötlevad kasutaja sisestatud andmeid. See tehnika on ohtlik, kuna see raskendab pahavara avastamist kolmandate osapoolte uurijate poolt. Group-IB spetsialistid tuvastasid PHP-koodi sisestatud nuhkija versiooni, mis kasutas väravana domeeni dittm.org.

Samuti tuvastati varajane versioon nuhkijast, mis kogus varastatud andmeid sama domeeni kaudu dittm.org, kuid see versioon oli mõeldud juba paigaldamiseks veebipoe kliendi poolele.

Hiljem kohandas grupp oma taktikat, pöörates rohkem tähelepanu pahavara aktiivsuse varjamisele ja maskeerimisele.

2017. aasta alguses hakkas grupp kasutama domeeni jquery-js.com, mis varjas end jQuery CDN-ina: kui kasutaja läheb ründajate saidile, suunatakse ta õigesse saidile jquery.com.

Ja 2018. aasta keskpaiku hakkas grupp kasutama domeeninime g-analytics.com ja hakkas nuhkija tegevust maskeerima seadusliku Google Analytics teenuse alla.

Versioonide analüüs

Domeenide analüüsimisel, mida kasutati nuhkijate koodi talletamiseks, leiti, et saidil on palju versioone, mis erinevad obfuskatsiooni olemasolu ning saavutatavamate või saavutamatute koodide, mis on failile lisatud tähelepanu kõrvale juhtimiseks ja pahavara koodi varjamiseks, olemasolu poolest.

Kokku leiti saidilt jquery-js.com kuus nuhkija versioon. Varastatud andmed saadetakse aadressile, mis asub samas saidis, kus nuhkija ise: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

Hiljem kasutatud domeen g-analytics.com, mida grupp kasutas rünnakutes 2018. aasta keskpaigast alates, teenib suurema arvu nuhkijate salvestamiseks. Kokku leiti 16 erinevat nuhkija versiooni. Sel juhul oli vargande saatmiseks kasutatav värav maskeeritud piltide lingi all GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
=1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

Varastatud andmete monetiseerimine

Kuritegelik grupp monetiseerib varastatud andmeid, müües kaarte spetsiaalselt loodud underground-poes, mis pakub teenuseid kaardikarpide jaoks. Ründajate kasutatud domeenide analüüs võimaldas tuvastada, et google-analytics.cm oli registreeritud sama kasutaja poolt, kes registreeris domeeni cardz.vc. Domeen cardz.vc puudutab varastatud pangakaartide müümise poodi Cardsurfs (Flysurfs), mis sai populaarseks juba siis, kui tugipunkt AlphaBay oli aktiivne, kui pood, mis müüs pangakaarte, mida oli varastatud snifferite abil.

Analüüsides domeeni analytic.is, mis asub samal serveril kui domeenid, mida snifferid kasutavad varastatud andmete kogumiseks, avastas Group-IB faili, mis sisaldas Cookie-stealer'i logisid, mis näib hiljem arendaja poolt hüljatud. Üks logis olevatest kirjedest sisaldas domeeni iozoz.com, mida kasutati varem ühes snifferis, mis oli aktiivne 2016. aastal. Eeldatavasti kasutas see domeen kurjategija varastatud andmete kogumiseks snifferite abil. See domeen registreeriti e-posti aadressil kts241@gmail.com, mida kasutati ka domeenide registreerimiseks cardz.su ja cardz.vc, mis puudutas ka kardingute poodi Cardsurfs.

Saadud andmete põhjal võib järeldada, et G-Analytics snifferite perekond ja pangakaartide vahendusportaal Cardsurfs on sama inimeste kontrolli all ning pood on varastatud snifferite kaudu saadud pangakaartide müümiseks.

Infrastruktuur

Illum perekond

Illum on snifferite perekond, mida kasutatakse rünnakuteks veebipoodidele, millel on CMS Magento haldus. Peale halva koodi sisestamise kasutavad selle snifferi operaatorid ka täielikult vale maksevormide sisestamist, mis edastavad andmed kurjategijate kontrolli all olevatele väravatele.

Analüüsides selle snifferi operaatorite võrgu infrastruktuuri, on märgatud suurt hulka pahatahtlikke skripte, eksploidikoodide, vale maksevormide, samuti kogumit näidiseid konkurendi pahatahtlikest snifferitest. Domaanide nimede ilmumiste kuupäevade põhjal võib järeldada, et kampaania algus toimub 2016. aasta lõpus.

Kuidas Illum sisestatakse veebipoe koodi

Esimesed avastatud snifferi versioonid sisestati otse kompromiteeritud saidi koodi. Varastatud andmed edastati aadressile cdn.illum[.]pw/records.php, värav aga kodeeriti kasutades base64.

Hiljem leiti pakitud versioon nuhkprogrammist, mis kasutas teist väravat — records.nstatistics[.]com/records.php.

Vastavalt aruandele Willem de Groot, sama host, mida kasutati nuhkprogrammis, mis oli implanteeritud poe veebilehele, mis kuulub Saksamaa poliitilisele erakonnale CSU.

Kurjategijate veebilehe analüüs

Group-IB spetsialistid avastasid ja analüüsisid veebilehte, mida kasutatakse selle kuritegeliku grupi poolt tööriistade ja varastatud teabe kogumiseks.

Kurjategijate serverist leitud tööriistade seas olid skriptid ja eksploidid Linuxi operatsioonisüsteemi privileegide tõstmiseks: näiteks Linux Privilege Escalation Check Script, mille töötas välja Mike Czumak, samuti eksploit CVE-2009-1185.

Otse online-kauplustele rünnakute läbiviimiseks kasutasid kurjategijad kahte eksploidimist: esimene on võimeline sisestama pahatahtlikku koodi core_config_data CVE-2016-4010 ärakasutamise kaudu, teises kasutab RCE tüüpi haavatavust CMS Magento pluginates, võimaldades täita suvalist koodi haavataval veebiserveril.

Samuti leiti serveri analüüsi käigus erinevaid nuhkprogramme ja vale maksevorme, mida kurjategijad kasutasid varastatud makseinfo kogumiseks häkitud veebilehtedelt. Nagu allpool olevast loendist näha, loodi mõned skriptid individuaalselt igale häkitud veebilehele, samas kui teatud CMS-ide ja makseväravate jaoks kasutati universaalseid lahendusi. Näiteks skriptid segapay_standart.js ja segapay_onpage.js on ette nähtud paigaldamiseks veebilehtedele, mis kasutavad makseväravat Sage Pay.

Skriptiloend erinevate makseväravate jaoks

Host paymentnow[.]tk, mida kasutatakse skriptis väravana payment_forminsite.js, leiti kui subjectAltName mitmetes sertifikaatides, mis on seotud CloudFlare'iga. Lisaks oli hostis skript evil.js. Skripti nime põhjal võis see olla kasutusel CVE-2016-4010 ärakasutamisel, mis võimaldab sisestada pahatahtlikku koodi CMS Magento juhtimisega veebilehe jalusesse. Selle skriptina kasutas host request.requestnet[.]tk, mis kasutab sama sertifikaati kui host paymentnow[.]tk.

Vale maksevormid

Allpool on illustratsioon vormist, kuhu kirjutatakse kaarditõendid. Seda vormi kasutati online-kauplusesse sisestamiseks ja kaardiandmete varastamiseks.

Järgneval joonisel on näide vale PayPali maksevormist, mida kurjategijad kasutasid selle makseviisi kaudu veebisaitidele sisenemiseks.

Infrastruktuur

CoffeMokko perekond

CoffeMokko perekonna nuhkprogrammid, mis on mõeldud veebipoodide kasutajate pangakaartide varastamiseks, on olnud aktiivsed vähemalt alates 2017. aasta maist. Eeldatavasti haldab neid nuhkprogramme kuritegevusgrupp Group 1, keda kirjeldasid RiskIQ spetsialistid 2016. aastal. Rünnakute sihtmärkideks olid sellised CMS-id nagu Magento, OpenCart, WordPress, osCommerce, Shopify.

Kuidas CoffeMokko integreeritakse veebipoe koodi

Selle perekonna operaatorid loovad iga nakatumise jaoks unikaalse nuhkprogrammi: nuhkprogrammi fail asub kurjategijate serveris kaustas src või js . Veebisaidi koodi integreeritakse otse nuhkprogrammile viidates.

Nuhkprogrammi koodis on kõvasti kodeeritud vormi väljade nimed, millest andmeid tuleb varastada. Samuti kontrollib nuhkprogramm, kas kasutaja on makse lehel, kontrollides võtm sõna loendiga praegust kasutaja aadressi.

Mõned avastatud nuhkprogrammi versioonid olid obfuskeeritud ja sisaldasid krüpteeritud stringi, milles hoiti peamine ressursside massiiv: just selles olid maksesüsteemide vormide väljade nimed ning aadress, kuhu varastatud andmed saatma tuli.

Varastatud makseinformatsioon saadeti kurjategijate serveris skriptile aadressilt /savePayment/index.php или /tr/index.php. Eeldatavasti teenib see skript andmete saatmist väravast peamisele serverile, kuhu koondatakse andmed kõikidest nuhkprogrammidest. Edastatavate andmete varjamiseks kodeeritakse kõik ohvri makseandmed base64, millele järgneb mitme sümboli asendamine:

• sümbol „e” asendatakse „:”
• sümbol „w” asendatakse „+”
• sümbol „o” asendatakse „%”
• sümbol „d” asendatakse „#”
• sümbol „a” asendatakse „-”
• sümbol „7” asendatakse „^”
• sümbol „h” asendatakse „_”
• sümbol „T” asendatakse „@”
• sümbol „0” asendatakse „/”
• sümbol „Y” asendatakse „*”

Tulemuseks on sümbolite asendamine, mille abil kodeeritud base64 andmeid ei saa dekodeerida, kui ei tehta vastupidist protsessi.

Nii näeb välja snifferi koodilõik, mida pole obfuskeeritud:

Infrastruktuuri analüüs

Varasemates kampaaniates registreerisid kurjategijad domeeninimesid, mis sarnanesid seaduslike veebipoode esindavatega. Nende domeen võis erineda seaduslikust üksikisendist või muust TLD-st. Registreeritud domeene kasutati snifferi koodi talletamiseks, millelink sisestati poe koodi.

Samuti kasutas see grupp domeeninimesid, mis meenutasid populaarsete jQuery pluginade nimesid (slickjs[.]org veebilehtedele, mis kasutasid pluginat slick.js), makse väravate (sagecdn[.]org veebilehtedele, mis kasutasid Sage Pay maksesüsteemi).

Hiljem hakkas grupp looma domeene, mille nimedel polnud mingit seost ei poe domeeni ega poe temaatikaga.

Iga domeeni vastas veebileht, millel loodi kataloog /js või /src. Selles kataloogis hoiti snifferite skripte: üks sniffer iga uue nakatumise kohta. Sniffer sisestati veebilehe koodi otse lingi kaudu, kuid harvadel juhtudel muutsid kurjategijad mõnda veebilehe faili ja lisasid sinna pahatahtliku koodi.

Koodi analüüs

Esimene obfuskatsiooni algoritm

Mõnedes avastatud snifferite näidistes oli kood obfuskeeritud ja sisaldas krüpteeritud andmeid, mis olid vajalikud snifferi tööks: eelkõige snifferi värava aadress, maksevormi väljade loetelu ja mõnel juhul vale maksevormi kood. Funktsiooni sees olid ressursid krüpteeritud XOR võtmega, mis edastati selle sama funktsiooni argumendina.

Dekodeerides stringi vastava võtmega, mis on iga näidise jaoks ainulaadne, on võimalik saada string, mis sisaldab kõiki snifferi koodis olevaid stringe eraldajamärgi kaudu.

Teine obfuskatsiooni algoritm

Hiljemates selle perekonna snifferite näidistes kasutati teistsugust obfuskatsiooni mehhanismi: sellisel juhul olid andmed krüpteeritud käsitsi kirjutatud algoritmi abil. String, mis sisaldas snifferi tööks vajalikke krüpteeritud andmeid, edastati dekodeerimise funktsiooni argumendina.

Brauseri konsooli abil on võimalik krüpteeritud andmeid dekodeerida ja saada massiiv, mis sisaldab snifferi ressursse.

Seos varasemate MageCart rünnakutega

Ühe domeeni analüüsi käigus, mida grupp kasutas varastatud andmete kogumise väravana, leiti, et sellel domeenil on käivitatud infrastruktuur krediitkaartide varguseks, identne selle omaga, mida kasutas Grupp 1 — üks esimesi rühmi, avastatud RiskIQ spetsialistide poolt.

CoffeMokko nuhkpere hostis leiti kaks faili:

• mage.js — fail, mis sisaldas Grupp 1 nuhkimise koodi värava aadressiga js-cdn.link
• mag.php — PHP-skript, mis vastutab nuhkijaga varastatud andmete kogumise eest

Содержимое файла mage.js
Samuti leiti, et varaseimad domeenid, mida CoffeMokko nuhkijate rühm kasutas, registreeriti 17. mai 2017:

• link-js[.]link
• info-js[.]link
• track-js[.]link
• map-js[.]link
• smart-js[.]link

Nende domeeninimede formaat ühtib Grup 1 domeeninimede vormiga, mida kasutati 2016. aasta rünnakutes.

Leitud faktide põhjal võib teha oletusi, et CoffeMokko nuhkijate ja Grupp 1 kuritegeliku rühma vahel on seos. Eeldatavasti võisid CoffeMokko operaatorid oma eelkäijatelt varastada kaardivarguse tööriistu ja tarkvara. Siiski on tõenäolisem, et CoffeMokko nuhkijate kasutamise taga olev kuritegelik rühm on sama, mis viis läbi rünnakud Grupp 1 tegevuse käigus. Pärast esimese aruande avaldamist kuritegeliku rühma tegevusest blokeeriti kõik nende domeenid ja nende tööriistu uuriti ja kirjeldati üksikasjalikult. Rühm pidi võtma pausi, et täiustada oma siseseid tööriistu ja ümber kirjutada nuhkijate kood, et jätkata rünnakute tegemist ja jääda märkamatuks.

Infrastruktuur

Allikas: habr.com