ચાર JavaScript સ્નિફર્સ જે ઑનલાઇન સ્ટોર્સમાં તમારી રાહ જોતા હોય છે

આપણે લગભગ બધા જ ઓનલાઈન સ્ટોર્સની સેવાઓનો ઉપયોગ કરીએ છીએ, જેનો અર્થ છે કે વહેલા કે પછી આપણે JavaScript સ્નિફર્સનો શિકાર બનવાનું જોખમ ચલાવીએ છીએ - ખાસ કોડ કે જે હુમલાખોરો વપરાશકર્તાઓના બેંક કાર્ડ ડેટા, સરનામાં, લૉગિન અને પાસવર્ડ ચોરી કરવા માટે વેબસાઇટ પર લાગુ કરે છે. .

બ્રિટિશ એરવેઝની વેબસાઇટ અને મોબાઇલ એપ્લિકેશનના લગભગ 400 વપરાશકર્તાઓ પહેલેથી જ સ્નિફર્સથી પ્રભાવિત થયા છે, તેમજ સ્પોર્ટ્સ જાયન્ટ FILA અને અમેરિકન ટિકિટ ડિસ્ટ્રીબ્યુટર ટિકિટમાસ્ટરની બ્રિટિશ વેબસાઇટના મુલાકાતીઓ પણ પ્રભાવિત થયા છે. PayPal, Chase Paymenttech, USAePay, Moneris - આ અને અન્ય ઘણી ચુકવણી પ્રણાલીઓને ચેપ લાગ્યો હતો.

થ્રેટ ઇન્ટેલિજન્સ ગ્રૂપ-આઇબીના વિશ્લેષક વિક્ટર ઓકોરોકોવ કેવી રીતે સ્નિફર્સ વેબસાઇટ કોડમાં ઘૂસણખોરી કરે છે અને ચુકવણીની માહિતી ચોરી કરે છે, તેમજ તેઓ કયા CRM પર હુમલો કરે છે તે વિશે વાત કરે છે.

"છુપાયેલ ધમકી"

એવું બન્યું કે લાંબા સમય સુધી JS સ્નિફર્સ એન્ટી-વાયરસ વિશ્લેષકોની નજરથી દૂર રહ્યા, અને બેંકો અને ચુકવણી પ્રણાલીઓ તેમને ગંભીર ખતરા તરીકે જોતા ન હતા. અને સંપૂર્ણપણે નિરર્થક. ગ્રુપ-આઈબી નિષ્ણાતો વિશ્લેષણ કર્યું 2440 ચેપગ્રસ્ત ઑનલાઇન સ્ટોર્સ, જેમના મુલાકાતીઓ - દરરોજ લગભગ 1,5 મિલિયન લોકો - સમાધાનના જોખમમાં હતા. પીડિતોમાં માત્ર યુઝર્સ જ નથી, પરંતુ ઓનલાઈન સ્ટોર્સ, પેમેન્ટ સિસ્ટમ્સ અને બેંકો પણ છે જેણે ચેડાં કરેલા કાર્ડ્સ જારી કર્યા છે.

અહેવાલ ગ્રુપ-આઈબી સ્નિફર્સ, તેમના ઈન્ફ્રાસ્ટ્રક્ચર અને મુદ્રીકરણની પદ્ધતિઓ માટે ડાર્કનેટ માર્કેટનો પ્રથમ અભ્યાસ બન્યો, જે તેમના સર્જકોને લાખો ડોલર લાવે છે. અમે સ્નિફર્સના 38 પરિવારોને ઓળખ્યા, જેમાંથી માત્ર 12 જ અગાઉ સંશોધકો માટે જાણીતા હતા.

ચાલો અભ્યાસ દરમિયાન અભ્યાસ કરાયેલા સ્નિફર્સના ચાર પરિવારો પર વિગતવાર ધ્યાન આપીએ.

ReactGet Family

રિએક્ટગેટ પરિવારના સ્નિફર્સનો ઉપયોગ ઓનલાઈન શોપિંગ સાઇટ્સ પર બેંક કાર્ડ ડેટાની ચોરી કરવા માટે થાય છે. સ્નિફર સાઇટ પર વપરાતી મોટી સંખ્યામાં વિવિધ પેમેન્ટ સિસ્ટમ્સ સાથે કામ કરી શકે છે: એક પેરામીટર મૂલ્ય એક પેમેન્ટ સિસ્ટમને અનુરૂપ હોય છે, અને સ્નિફરના વ્યક્તિગત શોધાયેલ વર્ઝનનો ઉપયોગ ઓળખપત્રની ચોરી કરવા તેમજ ચુકવણીમાંથી બેંક કાર્ડ ડેટાની ચોરી કરવા માટે થઈ શકે છે. એકસાથે અનેક પેમેન્ટ સિસ્ટમ્સના સ્વરૂપો, જેમ કે કહેવાતા યુનિવર્સલ સ્નિફર. એવું જાણવા મળ્યું છે કે કેટલાક કિસ્સાઓમાં, હુમલાખોરો સાઇટના વહીવટી પેનલમાં પ્રવેશ મેળવવા માટે ઑનલાઇન સ્ટોર સંચાલકો પર ફિશિંગ હુમલાઓ કરે છે.

સ્નિફર્સના આ પરિવારનો ઉપયોગ કરીને મે 2017માં એક ઝુંબેશ શરૂ થઈ હતી; CMS અને Magento, Bigcommerce અને Shopify પ્લેટફોર્મ ચલાવતી સાઇટ્સ પર હુમલો કરવામાં આવ્યો હતો.

ઑનલાઇન સ્ટોરના કોડમાં ReactGet કેવી રીતે લાગુ કરવામાં આવે છે

લિંક દ્વારા સ્ક્રિપ્ટના "ક્લાસિક" અમલીકરણ ઉપરાંત, રિએક્ટગેટ ફેમિલી ઓફ સ્નિફર્સના ઓપરેટરો એક ખાસ તકનીકનો ઉપયોગ કરે છે: JavaScript કોડનો ઉપયોગ કરીને, તેઓ તપાસે છે કે વર્તમાન સરનામું જ્યાં વપરાશકર્તા સ્થિત છે તે ચોક્કસ માપદંડોને પૂર્ણ કરે છે કે કેમ. જો વર્તમાન URL માં સબસ્ટ્રિંગ હાજર હોય તો જ દૂષિત કોડ એક્ઝિક્યુટ કરવામાં આવશે ચેકઆઉટ અથવા એક પગલું ચેકઆઉટ, એક પૃષ્ઠ/, આઉટ/વનપેજ, ચેકઆઉટ/એક, ckout/એક. આમ, જ્યારે વપરાશકર્તા ખરીદી માટે ચૂકવણી કરવા આગળ વધે અને સાઇટ પરના ફોર્મમાં ચુકવણીની માહિતી દાખલ કરે ત્યારે સ્નિફર કોડ બરાબર તે જ ક્ષણે અમલમાં આવશે.

આ સ્નિફર બિન-માનક તકનીકનો ઉપયોગ કરે છે. પીડિતની ચૂકવણી અને વ્યક્તિગત ડેટા એકસાથે એકત્રિત કરવામાં આવે છે અને તેનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે base64, અને પછી પરિણામી સ્ટ્રિંગનો ઉપયોગ હુમલાખોરોની વેબસાઇટ પર વિનંતી મોકલવા માટે પરિમાણ તરીકે થાય છે. મોટેભાગે, ગેટનો માર્ગ જાવાસ્ક્રિપ્ટ ફાઇલનું અનુકરણ કરે છે, ઉદાહરણ તરીકે resp.js, data.js અને તેથી વધુ, પરંતુ છબી ફાઇલોની લિંક્સનો પણ ઉપયોગ થાય છે, GIF и JPG. ખાસિયત એ છે કે સ્નિફર 1 બાય 1 પિક્સેલના માપની ઇમેજ ઑબ્જેક્ટ બનાવે છે અને પેરામીટર તરીકે અગાઉ મળેલી લિંકનો ઉપયોગ કરે છે. સ્રોત છબીઓ. એટલે કે, વપરાશકર્તા માટે ટ્રાફિકમાં આવી વિનંતી સામાન્ય ચિત્રની વિનંતી જેવી દેખાશે. સ્નિફર્સના ImageID પરિવારમાં સમાન તકનીકનો ઉપયોગ કરવામાં આવ્યો હતો. વધુમાં, 1 બાય 1 પિક્સેલ ઇમેજનો ઉપયોગ કરવાની ટેકનિકનો ઉપયોગ ઘણી કાયદેસર ઑનલાઇન એનાલિટિક્સ સ્ક્રિપ્ટ્સમાં થાય છે, જે વપરાશકર્તાને ગેરમાર્ગે દોરી શકે છે.

સંસ્કરણ વિશ્લેષણ

ReactGet સ્નિફર ઓપરેટરો દ્વારા ઉપયોગમાં લેવાતા સક્રિય ડોમેન્સના વિશ્લેષણથી સ્નિફરના આ પરિવારના ઘણા વિવિધ સંસ્કરણો બહાર આવ્યા છે. અસ્પષ્ટતાની હાજરી અથવા ગેરહાજરીમાં સંસ્કરણો અલગ પડે છે, અને વધુમાં, દરેક સ્નિફર ચોક્કસ ચુકવણી સિસ્ટમ માટે રચાયેલ છે જે ઑનલાઇન સ્ટોર્સ માટે બેંક કાર્ડની ચુકવણી પર પ્રક્રિયા કરે છે. સંસ્કરણ નંબરને અનુરૂપ પરિમાણના મૂલ્ય દ્વારા સૉર્ટ કર્યા પછી, ગ્રુપ-IB નિષ્ણાતોને ઉપલબ્ધ સ્નિફર વિવિધતાઓની સંપૂર્ણ સૂચિ પ્રાપ્ત થઈ, અને દરેક સ્નિફર પૃષ્ઠ કોડમાં જે ફોર્મ ફીલ્ડ્સ શોધે છે તેના નામ દ્વારા, તેઓએ ચુકવણી સિસ્ટમ્સને ઓળખી. કે સુંઘવાનું લક્ષ્ય છે.

સ્નિફર્સ અને તેમની અનુરૂપ ચુકવણી પ્રણાલીઓની સૂચિ

સ્નિફર URL	ચુકવણી સિસ્ટમ
reactjsapi.com/react.js	ઓથોરાઇઝ.નેટ
ajaxstatic.com/api.js?v=2.1.1	કાર્ડસેવ
ajaxstatic.com/api.js?v=2.1.2	ઓથોરાઇઝ.નેટ
ajaxstatic.com/api.js?v=2.1.3	ઓથોરાઇઝ.નેટ
ajaxstatic.com/api.js?v=2.1.4	eWAY રેપિડ
ajaxstatic.com/api.js?v=2.1.5	ઓથોરાઇઝ.નેટ
ajaxstatic.com/api.js?v=2.1.6	અદ્યન
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	ઓથોરાઇઝ.નેટ
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	ઓથોરાઇઝ.નેટ
apitstatus.com/api.js?v=2.1.3	મોનેરીસ
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	પેપાલ
apitstatus.com/api.js?v=2.1.7	સેજ પે
apitstatus.com/api.js?v=2.1.8	વેરિસાઇન
apitstatus.com/api.js?v=2.1.9	પેપાલ
apitstatus.com/api.js?v=2.3.0	ગેરુનો
apitstatus.com/api.js?v=3.0.2	રીઅલેક્સ
apitstatus.com/api.js?v=3.0.3	પેપાલ
apitstatus.com/api.js?v=3.0.4	LinkPoint
apitstatus.com/api.js?v=3.0.5	પેપાલ
apitstatus.com/api.js?v=3.0.7	પેપાલ
apitstatus.com/api.js?v=3.0.8	ડેટાકેશ
apitstatus.com/api.js?v=3.0.9	પેપાલ
asianfoodgracer.com/footer.js	ઓથોરાઇઝ.નેટ
billgetstatus.com/api.js?v=1.2	ઓથોરાઇઝ.નેટ
billgetstatus.com/api.js?v=1.3	ઓથોરાઇઝ.નેટ
billgetstatus.com/api.js?v=1.4	ઓથોરાઇઝ.નેટ
billgetstatus.com/api.js?v=1.5	વેરિસાઇન
billgetstatus.com/api.js?v=1.6	ઓથોરાઇઝ.નેટ
billgetstatus.com/api.js?v=1.7	મોનેરીસ
billgetstatus.com/api.js?v=1.8	સેજ પે
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	ઓથોરાઇઝ.નેટ
cloudodesc.com/gtm.js?v=1.2	ઓથોરાઇઝ.નેટ
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	ઓથોરાઇઝ.નેટ
cloudodesc.com/gtm.js?v=2.4	મોનેરીસ
cloudodesc.com/gtm.js?v=2.6	સેજ પે
cloudodesc.com/gtm.js?v=2.7	સેજ પે
cloudodesc.com/gtm.js?v=2.8	Paymentech પીછો
cloudodesc.com/gtm.js?v=2.9	ઓથોરાઇઝ.નેટ
cloudodesc.com/gtm.js?v=2.91	અદ્યન
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	સાયબર સોર્સ
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	રીઅલેક્સ
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	ઓથોરાઇઝ.નેટ
gtmproc.com/gtm.js?v=1.2	ઓથોરાઇઝ.નેટ
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	પેપાલ
gtmproc.com/gtm.js?v=1.6	પેપાલ
gtmproc.com/gtm.js?v=1.7	રીઅલેક્સ
livecheckpay.com/api.js?v=2.0	સેજ પે
livecheckpay.com/api.js?v=2.1	પેપાલ
livecheckpay.com/api.js?v=2.2	વેરિસાઇન
livecheckpay.com/api.js?v=2.3	ઓથોરાઇઝ.નેટ
livecheckpay.com/api.js?v=2.4	વેરિસાઇન
livecheckpay.com/react.js	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	પેપાલ
livegetpay.com/pay.js?v=2.1.5	સાયબર સોર્સ
livegetpay.com/pay.js?v=2.1.7	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.1.8	સેજ પે
livegetpay.com/pay.js?v=2.1.9	રીઅલેક્સ
livegetpay.com/pay.js?v=2.2.0	સાયબર સોર્સ
livegetpay.com/pay.js?v=2.2.1	પેપાલ
livegetpay.com/pay.js?v=2.2.2	પેપાલ
livegetpay.com/pay.js?v=2.2.3	પેપાલ
livegetpay.com/pay.js?v=2.2.4	વેરિસાઇન
livegetpay.com/pay.js?v=2.2.5	eWAY રેપિડ
livegetpay.com/pay.js?v=2.2.7	સેજ પે
livegetpay.com/pay.js?v=2.2.8	સેજ પે
livegetpay.com/pay.js?v=2.2.9	વેરિસાઇન
livegetpay.com/pay.js?v=2.3.0	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.3.1	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.3.2	પ્રથમ ડેટા વૈશ્વિક ગેટવે
livegetpay.com/pay.js?v=2.3.3	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.3.4	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.3.5	મોનેરીસ
livegetpay.com/pay.js?v=2.3.6	ઓથોરાઇઝ.નેટ
livegetpay.com/pay.js?v=2.3.8	પેપાલ
livegetpay.com/pay.js?v=2.4.0	વેરિસાઇન
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	ઓથોરાઇઝ.નેટ
mediapack.info/track.js?d=vseyewear.com	વેરિસાઇન
mxcounter.com/c.js?v=1.2	પેપાલ
mxcounter.com/c.js?v=1.3	ઓથોરાઇઝ.નેટ
mxcounter.com/c.js?v=1.4	ગેરુનો
mxcounter.com/c.js?v=1.6	ઓથોરાઇઝ.નેટ
mxcounter.com/c.js?v=1.7	eWAY રેપિડ
mxcounter.com/c.js?v=1.8	સેજ પે
mxcounter.com/c.js?v=2.0	ઓથોરાઇઝ.નેટ
mxcounter.com/c.js?v=2.1	બ્રાન્ટ્રી
mxcounter.com/c.js?v=2.10	બ્રાન્ટ્રી
mxcounter.com/c.js?v=2.2	પેપાલ
mxcounter.com/c.js?v=2.3	સેજ પે
mxcounter.com/c.js?v=2.31	સેજ પે
mxcounter.com/c.js?v=2.32	ઓથોરાઇઝ.નેટ
mxcounter.com/c.js?v=2.33	પેપાલ
mxcounter.com/c.js?v=2.34	ઓથોરાઇઝ.નેટ
mxcounter.com/c.js?v=2.35	વેરિસાઇન
mxcounter.com/click.js?v=1.2	પેપાલ
mxcounter.com/click.js?v=1.3	ઓથોરાઇઝ.નેટ
mxcounter.com/click.js?v=1.4	ગેરુનો
mxcounter.com/click.js?v=1.6	ઓથોરાઇઝ.નેટ
mxcounter.com/click.js?v=1.7	eWAY રેપિડ
mxcounter.com/click.js?v=1.8	સેજ પે
mxcounter.com/click.js?v=2.0	ઓથોરાઇઝ.નેટ
mxcounter.com/click.js?v=2.1	બ્રાન્ટ્રી
mxcounter.com/click.js?v=2.2	પેપાલ
mxcounter.com/click.js?v=2.3	સેજ પે
mxcounter.com/click.js?v=2.31	સેજ પે
mxcounter.com/click.js?v=2.32	ઓથોરાઇઝ.નેટ
mxcounter.com/click.js?v=2.33	પેપાલ
mxcounter.com/click.js?v=2.34	ઓથોરાઇઝ.નેટ
mxcounter.com/click.js?v=2.35	વેરિસાઇન
mxcounter.com/cnt.js	ઓથોરાઇઝ.નેટ
mxcounter.com/j.js	ઓથોરાઇઝ.નેટ
newrelicnet.com/api.js?v=1.2	ઓથોરાઇઝ.નેટ
newrelicnet.com/api.js?v=1.4	ઓથોરાઇઝ.નેટ
newrelicnet.com/api.js?v=1.8	સેજ પે
newrelicnet.com/api.js?v=4.5	સેજ પે
newrelicnet.com/api.js?v=4.6	વેસ્ટપેક પેવે
nr-public.com/api.js?v=2.0	પેફોર્ટ
nr-public.com/api.js?v=2.1	પેપાલ
nr-public.com/api.js?v=2.2	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=2.3	ગેરુનો
nr-public.com/api.js?v=2.4	પ્રથમ ડેટા વૈશ્વિક ગેટવે
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=2.7	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=2.8	મોનેરીસ
nr-public.com/api.js?v=2.9	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=3.1	સેજ પે
nr-public.com/api.js?v=3.2	વેરિસાઇન
nr-public.com/api.js?v=3.3	મોનેરીસ
nr-public.com/api.js?v=3.5	પેપાલ
nr-public.com/api.js?v=3.6	LinkPoint
nr-public.com/api.js?v=3.7	વેસ્ટપેક પેવે
nr-public.com/api.js?v=3.8	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=4.0	મોનેરીસ
nr-public.com/api.js?v=4.0.2	પેપાલ
nr-public.com/api.js?v=4.0.3	અદ્યન
nr-public.com/api.js?v=4.0.4	પેપાલ
nr-public.com/api.js?v=4.0.5	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	ઓથોરાઇઝ.નેટ
nr-public.com/api.js?v=4.0.9	વેરિસાઇન
nr-public.com/api.js?v=4.1.2	વેરિસાઇન
ordercheckpays.com/api.js?v=2.11	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.12	પેપાલ
ordercheckpays.com/api.js?v=2.13	મોનેરીસ
ordercheckpays.com/api.js?v=2.14	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.15	પેપાલ
ordercheckpays.com/api.js?v=2.16	પેપાલ
ordercheckpays.com/api.js?v=2.17	વેસ્ટપેક પેવે
ordercheckpays.com/api.js?v=2.18	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.19	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.21	સેજ પે
ordercheckpays.com/api.js?v=2.22	વેરિસાઇન
ordercheckpays.com/api.js?v=2.23	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.24	પેપાલ
ordercheckpays.com/api.js?v=2.25	પેફોર્ટ
ordercheckpays.com/api.js?v=2.29	સાયબર સોર્સ
ordercheckpays.com/api.js?v=2.4	પેપાલ પેફ્લો પ્રો
ordercheckpays.com/api.js?v=2.7	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.8	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=2.9	વેરિસાઇન
ordercheckpays.com/api.js?v=3.1	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=3.2	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=3.3	સેજ પે
ordercheckpays.com/api.js?v=3.4	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=3.5	ગેરુનો
ordercheckpays.com/api.js?v=3.6	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=3.7	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=3.8	વેરિસાઇન
ordercheckpays.com/api.js?v=3.9	પેપાલ
ordercheckpays.com/api.js?v=4.0	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=4.1	ઓથોરાઇઝ.નેટ
ordercheckpays.com/api.js?v=4.2	સેજ પે
ordercheckpays.com/api.js?v=4.3	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=0.1.0	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=0.1.1	પેપાલ
reactjsapi.com/api.js?v=4.1.2	ચકમક
reactjsapi.com/api.js?v=4.1.4	પેપાલ
reactjsapi.com/api.js?v=4.1.5	સેજ પે
reactjsapi.com/api.js?v=4.1.51	વેરિસાઇન
reactjsapi.com/api.js?v=4.1.6	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.1.7	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.1.8	ગેરુનો
reactjsapi.com/api.js?v=4.1.9	ફેટ ઝેબ્રા
reactjsapi.com/api.js?v=4.2.0	સેજ પે
reactjsapi.com/api.js?v=4.2.1	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.2.2	પ્રથમ ડેટા વૈશ્વિક ગેટવે
reactjsapi.com/api.js?v=4.2.3	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.2.4	eWAY રેપિડ
reactjsapi.com/api.js?v=4.2.5	અદ્યન
reactjsapi.com/api.js?v=4.2.7	પેપાલ
reactjsapi.com/api.js?v=4.2.8	ક્વિકબુક મર્ચન્ટ સેવાઓ
reactjsapi.com/api.js?v=4.2.9	વેરિસાઇન
reactjsapi.com/api.js?v=4.2.91	સેજ પે
reactjsapi.com/api.js?v=4.2.92	વેરિસાઇન
reactjsapi.com/api.js?v=4.2.94	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.3.97	ઓથોરાઇઝ.નેટ
reactjsapi.com/api.js?v=4.5	સેજ પે
reactjsapi.com/react.js	ઓથોરાઇઝ.નેટ
sydneysalonsupplies.com/gtm.js	eWAY રેપિડ
tagsmediaget.com/react.js	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	પેપાલ
tagstracking.com/tag.js?v=2.1.5	સાયબર સોર્સ
tagstracking.com/tag.js?v=2.1.7	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.1.8	સેજ પે
tagstracking.com/tag.js?v=2.1.9	રીઅલેક્સ
tagstracking.com/tag.js?v=2.2.0	સાયબર સોર્સ
tagstracking.com/tag.js?v=2.2.1	પેપાલ
tagstracking.com/tag.js?v=2.2.2	પેપાલ
tagstracking.com/tag.js?v=2.2.3	પેપાલ
tagstracking.com/tag.js?v=2.2.4	વેરિસાઇન
tagstracking.com/tag.js?v=2.2.5	eWAY રેપિડ
tagstracking.com/tag.js?v=2.2.7	સેજ પે
tagstracking.com/tag.js?v=2.2.8	સેજ પે
tagstracking.com/tag.js?v=2.2.9	વેરિસાઇન
tagstracking.com/tag.js?v=2.3.0	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.3.1	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.3.2	પ્રથમ ડેટા વૈશ્વિક ગેટવે
tagstracking.com/tag.js?v=2.3.3	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.3.4	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.3.5	મોનેરીસ
tagstracking.com/tag.js?v=2.3.6	ઓથોરાઇઝ.નેટ
tagstracking.com/tag.js?v=2.3.8	પેપાલ

પાસવર્ડ સ્નિફર

સાઇટની ક્લાયંટ બાજુ પર કામ કરતા જાવાસ્ક્રિપ્ટ સ્નિફર્સનો એક ફાયદો તેમની વર્સેટિલિટી છે: સાઇટ પર એમ્બેડેડ દૂષિત કોડ કોઈપણ પ્રકારના ડેટાની ચોરી કરી શકે છે, પછી તે ચુકવણી ડેટા હોય અથવા વપરાશકર્તા એકાઉન્ટનો લોગિન અને પાસવર્ડ હોય. ગ્રુપ-આઈબીના નિષ્ણાતોએ રીએક્ટગેટ પરિવાર સાથે જોડાયેલા સ્નિફરનો નમૂનો શોધી કાઢ્યો હતો, જે સાઇટ વપરાશકર્તાઓના ઈમેલ એડ્રેસ અને પાસવર્ડ ચોરી કરવા માટે રચાયેલ છે.

ImageID સ્નિફર સાથે આંતરછેદ

ચેપગ્રસ્ત સ્ટોર્સમાંના એકના વિશ્લેષણ દરમિયાન, એવું જાણવા મળ્યું હતું કે તેની વેબસાઇટ બે વાર ચેપગ્રસ્ત હતી: ReactGet ફેમિલી સ્નિફરના દૂષિત કોડ ઉપરાંત, ImageID ફેમિલી સ્નિફરનો કોડ મળી આવ્યો હતો. આ ઓવરલેપ એ પુરાવો હોઈ શકે છે કે બંને સ્નિફર્સ પાછળના ઓપરેટરો દૂષિત કોડ ઇન્જેક્ટ કરવા માટે સમાન તકનીકોનો ઉપયોગ કરે છે.

યુનિવર્સલ સ્નિફર

ReactGet સ્નિફર ઈન્ફ્રાસ્ટ્રક્ચર સાથે સંકળાયેલા ડોમેન નામોમાંથી એકના વિશ્લેષણમાં જાણવા મળ્યું છે કે તે જ વપરાશકર્તાએ અન્ય ત્રણ ડોમેન નામો નોંધ્યા હતા. આ ત્રણ ડોમેન્સ વાસ્તવિક જીવનની વેબસાઇટ્સના ડોમેન્સનું અનુકરણ કરે છે અને અગાઉ સ્નિફર્સને હોસ્ટ કરવા માટે ઉપયોગમાં લેવાતા હતા. ત્રણ કાયદેસર સાઇટ્સના કોડનું વિશ્લેષણ કરતી વખતે, એક અજ્ઞાત સ્નિફર મળી આવ્યો હતો, અને વધુ વિશ્લેષણ દર્શાવે છે કે તે ReactGet સ્નિફરનું સુધારેલું સંસ્કરણ હતું. સ્નિફરના આ પરિવારના અગાઉ મોનિટર કરાયેલા બધા વર્ઝનનો હેતુ એક જ ચુકવણી સિસ્ટમ પર હતો, એટલે કે, દરેક ચુકવણી સિસ્ટમને સ્નિફરના વિશિષ્ટ સંસ્કરણની જરૂર હતી. જો કે, આ કિસ્સામાં, સ્નિફરનું એક સાર્વત્રિક સંસ્કરણ મળી આવ્યું હતું જે ઓનલાઈન પેમેન્ટ કરવા માટે 15 વિવિધ પેમેન્ટ સિસ્ટમ્સ અને ઈ-કોમર્સ સાઇટ્સના મોડ્યુલથી સંબંધિત માહિતીની ચોરી કરવામાં સક્ષમ છે.

તેથી, કામની શરૂઆતમાં, સ્નિફરે પીડિતની વ્યક્તિગત માહિતી ધરાવતા મૂળભૂત ફોર્મ ફીલ્ડ્સની શોધ કરી: સંપૂર્ણ નામ, ભૌતિક સરનામું, ફોન નંબર.

પછી સ્નિફરે વિવિધ પેમેન્ટ સિસ્ટમ્સ અને ઓનલાઈન પેમેન્ટ મોડ્યુલને અનુરૂપ 15 અલગ-અલગ ઉપસર્ગોની શોધ કરી.

આગળ, પીડિતનો અંગત ડેટા અને ચુકવણીની માહિતી એકસાથે એકત્રિત કરવામાં આવી હતી અને હુમલાખોર દ્વારા નિયંત્રિત સાઇટ પર મોકલવામાં આવી હતી: આ ચોક્કસ કિસ્સામાં, સાર્વત્રિક ReactGet સ્નિફરના બે સંસ્કરણો શોધી કાઢવામાં આવ્યા હતા, જે બે અલગ અલગ હેક કરેલી સાઇટ્સ પર સ્થિત છે. જો કે, બંને વર્ઝન ચોરીનો ડેટા એક જ હેક થયેલી સાઇટ પર મોકલતા હતા zoobashop.com.

પીડિતની ચૂકવણીની માહિતી ધરાવતા ક્ષેત્રો શોધવા માટે સ્નિફર દ્વારા ઉપયોગમાં લેવાતા ઉપસર્ગના વિશ્લેષણથી અમને તે નિર્ધારિત કરવાની મંજૂરી મળી કે આ સ્નિફર નમૂનાનો હેતુ નીચેની ચુકવણી પ્રણાલીઓ પર હતો:

• ઓથોરાઇઝ.નેટ
• વેરિસાઇન
• પ્રથમ ડેટા
• USAePay
• ગેરુનો
• પેપાલ
• ANZ eGate
• બ્રાન્ટ્રી
• ડેટાકેશ (માસ્ટરકાર્ડ)
• Realex ચુકવણીઓ
• PsiGate
• હાર્ટલેન્ડ પેમેન્ટ સિસ્ટમ્સ

ચુકવણી માહિતીની ચોરી કરવા માટે કયા સાધનોનો ઉપયોગ કરવામાં આવે છે?

હુમલાખોરોના ઈન્ફ્રાસ્ટ્રક્ચરના વિશ્લેષણ દરમિયાન શોધાયેલ પ્રથમ સાધનનો ઉપયોગ બેંક કાર્ડની ચોરી માટે જવાબદાર દૂષિત સ્ક્રિપ્ટોને અસ્પષ્ટ કરવા માટે થાય છે. હુમલાખોરના યજમાનોમાંના એક પર પ્રોજેક્ટની CLI નો ઉપયોગ કરતી બેશ સ્ક્રિપ્ટ મળી આવી હતી javascript-obfuscator સ્નિફર કોડના ઓટોમેટિકેશન માટે.

બીજું શોધાયેલ સાધન મુખ્ય સ્નિફર લોડ કરવા માટે જવાબદાર કોડ જનરેટ કરવા માટે રચાયેલ છે. આ ટૂલ JavaScript કોડ જનરેટ કરે છે જે સ્ટ્રિંગ્સ માટે વપરાશકર્તાના વર્તમાન સરનામાને શોધીને વપરાશકર્તા ચુકવણી પૃષ્ઠ પર છે કે કેમ તે તપાસે છે. ચેકઆઉટ, કાર્ટ અને તેથી વધુ, અને જો પરિણામ હકારાત્મક છે, તો કોડ હુમલાખોરોના સર્વરમાંથી મુખ્ય સ્નિફર લોડ કરે છે. દૂષિત પ્રવૃત્તિને છુપાવવા માટે, ચુકવણી પૃષ્ઠ નિર્ધારિત કરવા માટેની પરીક્ષણ લાઇન્સ તેમજ સ્નિફરની લિંક સહિતની તમામ લાઇનોનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે. base64.

ફિશિંગ હુમલા

હુમલાખોરોના નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરના વિશ્લેષણથી જાણવા મળ્યું છે કે ફોજદારી જૂથ ઘણીવાર લક્ષ્ય ઓનલાઈન સ્ટોરના વહીવટી પેનલમાં પ્રવેશ મેળવવા માટે ફિશિંગનો ઉપયોગ કરે છે. હુમલાખોરો એક ડોમેન રજીસ્ટર કરે છે જે દૃષ્ટિની રીતે સ્ટોરના ડોમેન જેવું જ હોય ​​છે અને પછી તેના પર નકલી મેજેન્ટો એડમિનિસ્ટ્રેશન પેનલ લોગિન ફોર્મ ગોઠવે છે. જો સફળ થશે, તો હુમલાખોરો Magento CMS ના વહીવટી પેનલમાં પ્રવેશ મેળવશે, જે તેમને વેબસાઇટ ઘટકોને સંપાદિત કરવાની અને ક્રેડિટ કાર્ડ ડેટાની ચોરી કરવા માટે સ્નિફર લાગુ કરવાની તક આપે છે.

ઈન્ફ્રાસ્ટ્રક્ચર

ડોમેન	શોધ/દેખાવની તારીખ
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

જી-એનાલિટિક્સ પરિવાર

સ્નિફર્સના આ પરિવારનો ઉપયોગ ઓનલાઈન સ્ટોર્સમાંથી ગ્રાહક કાર્ડની ચોરી કરવા માટે થાય છે. જૂથ દ્વારા ઉપયોગમાં લેવાતું પ્રથમ ડોમેન નામ એપ્રિલ 2016 માં નોંધાયેલું હતું, જે સૂચવે છે કે જૂથે 2016 ના મધ્યમાં પ્રવૃત્તિ શરૂ કરી હતી.

વર્તમાન ઝુંબેશમાં, જૂથ ડોમેન નામોનો ઉપયોગ કરે છે જે વાસ્તવિક જીવનની સેવાઓનું અનુકરણ કરે છે, જેમ કે Google Analytics અને jQuery, કાયદેસર સ્ક્રિપ્ટો અને કાયદેસરના સમાન ડોમેન નામો સાથે સ્નિફર્સની પ્રવૃત્તિને માસ્ક કરે છે. Magento CMS ચલાવતી સાઇટ્સ પર હુમલો કરવામાં આવ્યો હતો.

ઑનલાઇન સ્ટોરના કોડમાં G-Analytics કેવી રીતે લાગુ કરવામાં આવે છે

આ કુટુંબની એક વિશિષ્ટ વિશેષતા એ છે કે વપરાશકર્તાની ચુકવણીની માહિતી ચોરવા માટે વિવિધ પદ્ધતિઓનો ઉપયોગ કરવો. સાઇટની ક્લાયંટ બાજુમાં JavaScript કોડના ક્લાસિક ઇન્જેક્શન ઉપરાંત, ગુનાહિત જૂથે સાઇટની સર્વર બાજુમાં કોડ ઇન્જેક્શન તકનીકોનો પણ ઉપયોગ કર્યો, એટલે કે PHP સ્ક્રિપ્ટ્સ કે જે વપરાશકર્તા દ્વારા દાખલ કરાયેલ ડેટા પર પ્રક્રિયા કરે છે. આ તકનીક ખતરનાક છે કારણ કે તે તૃતીય-પક્ષ સંશોધકો માટે દૂષિત કોડ શોધવાનું મુશ્કેલ બનાવે છે. ગ્રુપ-આઈબીના નિષ્ણાતોએ ગેટ તરીકે ડોમેનનો ઉપયોગ કરીને સાઇટના PHP કોડમાં એમ્બેડેડ સ્નિફરનું વર્ઝન શોધી કાઢ્યું dittm.org.

સ્નિફરનું પ્રારંભિક સંસ્કરણ પણ મળી આવ્યું હતું જે ચોરેલી માહિતી એકત્રિત કરવા માટે સમાન ડોમેનનો ઉપયોગ કરે છે dittm.org, પરંતુ આ સંસ્કરણ ઑનલાઇન સ્ટોરની ક્લાયંટ બાજુ પર ઇન્સ્ટોલેશન માટે બનાવાયેલ છે.

જૂથે પાછળથી તેની રણનીતિ બદલી અને દૂષિત પ્રવૃત્તિ અને છદ્માવરણને છુપાવવા પર વધુ ધ્યાન કેન્દ્રિત કરવાનું શરૂ કર્યું.

2017 ની શરૂઆતમાં, જૂથે ડોમેનનો ઉપયોગ કરવાનું શરૂ કર્યું jquery-js.com, jQuery માટે CDN તરીકે માસ્કરેડિંગ: હુમલાખોરોની સાઇટ પર જતી વખતે, વપરાશકર્તાને કાયદેસરની સાઇટ પર રીડાયરેક્ટ કરવામાં આવે છે jquery.com.

અને 2018 ના મધ્યમાં, જૂથે ડોમેન નામ અપનાવ્યું g-analytics.com અને સ્નિફરની પ્રવૃત્તિઓને કાયદેસર Google Analytics સેવા તરીકે છુપાવવાનું શરૂ કર્યું.

સંસ્કરણ વિશ્લેષણ

સ્નિફર કોડ સ્ટોર કરવા માટે ઉપયોગમાં લેવાતા ડોમેન્સના વિશ્લેષણ દરમિયાન, એવું જાણવા મળ્યું હતું કે સાઇટમાં મોટી સંખ્યામાં સંસ્કરણો છે, જે અસ્પષ્ટતાની હાજરીમાં અલગ પડે છે, તેમજ ધ્યાન વિચલિત કરવા માટે ફાઇલમાં અગમ્ય કોડની હાજરી અથવા ગેરહાજરી ઉમેરવામાં આવે છે. અને દૂષિત કોડ છુપાવો.

સાઇટ પર કુલ jquery-js.com સ્નિફર્સની છ આવૃત્તિઓ ઓળખવામાં આવી હતી. આ સ્નિફર્સ ચોરેલો ડેટા સ્નિફરની જ વેબસાઇટ પર સ્થિત સરનામા પર મોકલે છે: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

બાદમાં ડોમેન g-analytics.com, 2018 ના મધ્યથી હુમલામાં જૂથ દ્વારા ઉપયોગમાં લેવાય છે, તે વધુ સ્નિફર્સ માટે ભંડાર તરીકે સેવા આપે છે. કુલ મળીને, સ્નિફરની 16 વિવિધ આવૃત્તિઓ મળી આવી હતી. આ કિસ્સામાં, ચોરેલો ડેટા મોકલવા માટેનો દરવાજો ઇમેજ ફોર્મેટની લિંક તરીકે છૂપાવી દેવામાં આવ્યો હતો GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

ચોરાયેલા ડેટાનું મુદ્રીકરણ

ફોજદારી જૂથ ખાસ કરીને બનાવેલા ભૂગર્ભ સ્ટોર દ્વારા કાર્ડ્સ વેચીને ચોરેલા ડેટાનું મુદ્રીકરણ કરે છે જે કાર્ડર્સને સેવાઓ પ્રદાન કરે છે. હુમલાખોરો દ્વારા ઉપયોગમાં લેવાતા ડોમેન્સનું વિશ્લેષણ અમને તે નક્કી કરવાની મંજૂરી આપે છે google-analytics.cm ડોમેન તરીકે સમાન વપરાશકર્તા દ્વારા નોંધાયેલ છે cardz.vc. ડોમેન cardz.vc ચોરેલા બેંક કાર્ડ્સ કાર્ડસર્ફ્સ (ફ્લાયસર્ફ્સ) વેચતા સ્ટોરનો સંદર્ભ આપે છે, જેણે સ્નિફરનો ઉપયોગ કરીને ચોરી કરેલા બેંક કાર્ડ્સ વેચતા સ્ટોર તરીકે ભૂગર્ભ ટ્રેડિંગ પ્લેટફોર્મ AlphaBay ની પ્રવૃત્તિના દિવસોમાં લોકપ્રિયતા મેળવી હતી.

ડોમેનનું વિશ્લેષણ analytical.is, ચોરેલો ડેટા એકત્રિત કરવા માટે સ્નિફર્સ દ્વારા ઉપયોગમાં લેવાતા ડોમેન્સ જેવા જ સર્વર પર સ્થિત, ગ્રુપ-આઈબીના નિષ્ણાતોએ કૂકી સ્ટીલર લોગ ધરાવતી ફાઇલ શોધી કાઢી હતી, જે વિકાસકર્તા દ્વારા પાછળથી છોડી દેવામાં આવી હોવાનું જણાય છે. લોગમાંની એક એન્ટ્રીમાં ડોમેન છે iozoz.com, જેનો ઉપયોગ અગાઉ 2016 માં સક્રિય સ્નિફર્સમાંના એકમાં કરવામાં આવ્યો હતો. સંભવતઃ, આ ડોમેનનો ઉપયોગ અગાઉ હુમલાખોર દ્વારા સ્નિફરનો ઉપયોગ કરીને ચોરાયેલા કાર્ડ્સ એકત્રિત કરવા માટે કરવામાં આવ્યો હતો. આ ડોમેન ઇમેઇલ સરનામાં પર નોંધાયેલું હતું [ઇમેઇલ સુરક્ષિત], જેનો ઉપયોગ ડોમેન્સ રજીસ્ટર કરવા માટે પણ થતો હતો cardz.su и cardz.vc, કાર્ડિંગ સ્ટોર Cardsurfs સંબંધિત.

પ્રાપ્ત ડેટાના આધારે, એવું માની શકાય છે કે સ્નિફરનો G-Analytics પરિવાર અને બેંક કાર્ડ કાર્ડસર્ફ વેચતો ભૂગર્ભ સ્ટોર એ જ લોકો દ્વારા સંચાલિત થાય છે, અને સ્ટોરનો ઉપયોગ સ્નિફરનો ઉપયોગ કરીને ચોરાયેલા બેંક કાર્ડ્સ વેચવા માટે થાય છે.

ઈન્ફ્રાસ્ટ્રક્ચર

ડોમેન	શોધ/દેખાવની તારીખ
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytical.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
analytical.is	28.12.2018
googlc-analytics.cm	17.01.2019

ઇલમ કુટુંબ

Illum એ સ્નિફર્સનો એક પરિવાર છે જેનો ઉપયોગ Magento CMS ચલાવતા ઑનલાઇન સ્ટોર્સ પર હુમલો કરવા માટે થાય છે. દૂષિત કોડ રજૂ કરવા ઉપરાંત, આ સ્નિફરના ઓપરેટરો સંપૂર્ણ બનાવટી ચુકવણી ફોર્મની રજૂઆતનો પણ ઉપયોગ કરે છે જે હુમલાખોરો દ્વારા નિયંત્રિત ગેટ પર ડેટા મોકલે છે.

આ સ્નિફરના ઓપરેટરો દ્વારા ઉપયોગમાં લેવાતા નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરનું વિશ્લેષણ કરતી વખતે, મોટી સંખ્યામાં દૂષિત સ્ક્રિપ્ટો, શોષણ, નકલી ચુકવણી ફોર્મ્સ, તેમજ સ્પર્ધકોના દૂષિત સ્નિફર્સ સાથેના ઉદાહરણોનો સંગ્રહ નોંધવામાં આવ્યો હતો. જૂથ દ્વારા ઉપયોગમાં લેવાતા ડોમેન નામોના દેખાવની તારીખો વિશેની માહિતીના આધારે, એવું માની શકાય છે કે ઝુંબેશ 2016 ના અંતમાં શરૂ થઈ હતી.

ઑનલાઇન સ્ટોરના કોડમાં ઇલમ કેવી રીતે લાગુ કરવામાં આવે છે

શોધાયેલ સ્નિફરના પ્રથમ સંસ્કરણો સીધેસીધું ચેડા થયેલી સાઇટના કોડમાં એમ્બેડ કરવામાં આવ્યા હતા. ચોરાયેલો ડેટા મોકલવામાં આવ્યો હતો cdn.illum[.]pw/records.php, ગેટનો ઉપયોગ કરીને એન્કોડ કરવામાં આવ્યો હતો base64.

પાછળથી, સ્નિફરનું પેકેજ્ડ વર્ઝન મળી આવ્યું જે અલગ ગેટનો ઉપયોગ કરે છે - records.nstatistics[.]com/records.php.

અનુસાર અહેવાલ વિલેમ ડી ગ્રૂટ, એ જ યજમાનનો ઉપયોગ સ્નિફરમાં કરવામાં આવ્યો હતો, જેનો અમલ કરવામાં આવ્યો હતો સાઇટ મૅગેઝિના, જર્મન રાજકીય પક્ષ CSU ની માલિકીની.

હુમલાખોરોની વેબસાઇટનું વિશ્લેષણ

ગ્રુપ-આઈબીના નિષ્ણાતોએ આ ગુનાહિત જૂથ દ્વારા ટૂલ્સ સ્ટોર કરવા અને ચોરાયેલી માહિતી એકત્રિત કરવા માટે ઉપયોગમાં લેવાતી વેબસાઈટની શોધ કરી અને તેનું વિશ્લેષણ કર્યું.

હુમલાખોરોના સર્વર પર મળેલા સાધનોમાં Linux OS માં વિશેષાધિકારો વધારવા માટેની સ્ક્રિપ્ટો અને શોષણનો સમાવેશ થાય છે: ઉદાહરણ તરીકે, માઈક ઝુમાક દ્વારા વિકસિત Linux વિશેષાધિકાર એસ્કેલેશન ચેક સ્ક્રિપ્ટ, તેમજ CVE-2009-1185 માટે એક શોષણ.

હુમલાખોરોએ ઓનલાઈન સ્ટોર્સ પર હુમલો કરવા માટે સીધા બે કારનામાનો ઉપયોગ કર્યો: первый માં દૂષિત કોડ દાખલ કરવામાં સક્ષમ core_config_data CVE-2016-4010 નો ઉપયોગ કરીને, બીજા CMS Magento માટે પ્લગિન્સમાં RCE નબળાઈનો ઉપયોગ કરે છે, જે એક સંવેદનશીલ વેબ સર્વર પર મનસ્વી કોડને ચલાવવાની મંજૂરી આપે છે.

ઉપરાંત, સર્વરના વિશ્લેષણ દરમિયાન, સ્નિફર્સ અને નકલી ચુકવણી ફોર્મના વિવિધ નમૂનાઓ મળી આવ્યા હતા, જેનો ઉપયોગ હુમલાખોરો દ્વારા હેક થયેલી સાઇટ્સમાંથી ચુકવણીની માહિતી એકત્રિત કરવા માટે કરવામાં આવતો હતો. જેમ તમે નીચેની સૂચિમાંથી જોઈ શકો છો, દરેક હેક કરેલી સાઇટ માટે કેટલીક સ્ક્રિપ્ટો વ્યક્તિગત રીતે બનાવવામાં આવી હતી, જ્યારે ચોક્કસ CMS અને ચુકવણી ગેટવે માટે સાર્વત્રિક ઉકેલનો ઉપયોગ કરવામાં આવ્યો હતો. ઉદાહરણ તરીકે, સ્ક્રિપ્ટો segapay_standart.js и segapay_onpage.js સેજ પે પેમેન્ટ ગેટવેનો ઉપયોગ કરીને સાઇટ્સ પર અમલીકરણ માટે રચાયેલ છે.

વિવિધ પેમેન્ટ ગેટવે માટે સ્ક્રિપ્ટોની યાદી

સ્ક્રિપ્ટ	પેમેન્ટ ગેટવે
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolengi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

હોસ્ટ હમણાં ચૂકવણી કરો[.]tk, સ્ક્રિપ્ટમાં ગેટ તરીકે વપરાય છે payment_forminsite.js, તરીકે શોધાઈ હતી subjectAltName CloudFlare સેવાથી સંબંધિત કેટલાક પ્રમાણપત્રોમાં. વધુમાં, યજમાન પાસે એક સ્ક્રિપ્ટ હતી evil.js. સ્ક્રિપ્ટના નામ દ્વારા અભિપ્રાય આપતા, તેનો ઉપયોગ CVE-2016-4010 ના શોષણના ભાગ રૂપે થઈ શકે છે, જેના કારણે CMS Magento ચલાવતી સાઇટના ફૂટરમાં દૂષિત કોડ દાખલ કરવાનું શક્ય છે. યજમાન આ સ્ક્રિપ્ટનો ઉપયોગ દ્વાર તરીકે કરે છે request.requestnet[.]tkયજમાન તરીકે સમાન પ્રમાણપત્રનો ઉપયોગ કરીને હમણાં ચૂકવણી કરો[.]tk.

નકલી ચુકવણી ફોર્મ

નીચેની આકૃતિ કાર્ડ ડેટા દાખલ કરવા માટેના ફોર્મનું ઉદાહરણ બતાવે છે. આ ફોર્મનો ઉપયોગ ઓનલાઈન સ્ટોરમાં ઘૂસણખોરી કરવા અને કાર્ડનો ડેટા ચોરી કરવા માટે કરવામાં આવતો હતો.

નીચેનો આંકડો નકલી PayPal ચુકવણી ફોર્મનું ઉદાહરણ બતાવે છે જેનો ઉપયોગ હુમલાખોરો દ્વારા આ ચુકવણી પદ્ધતિ વડે સાઇટ્સમાં ઘૂસણખોરી કરવા માટે કરવામાં આવ્યો હતો.

ઈન્ફ્રાસ્ટ્રક્ચર

ડોમેન	શોધ/દેખાવની તારીખ
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

કોફીમોક્કો પરિવાર

ઓનલાઈન સ્ટોરના વપરાશકર્તાઓ પાસેથી બેંક કાર્ડની ચોરી કરવા માટે રચાયેલ સ્નિફર્સનો CoffeMokko પરિવાર, ઓછામાં ઓછા મે 2017 થી ઉપયોગમાં લેવાય છે. સંભવતઃ, સ્નિફર્સના આ પરિવારના સંચાલકો ગુનાહિત જૂથ જૂથ 1 છે, જેનું વર્ણન 2016 માં RiskIQ નિષ્ણાતો દ્વારા કરવામાં આવ્યું હતું. Magento, OpenCart, WordPress, osCommerce અને Shopify જેવી CMS ચલાવતી સાઇટ્સ પર હુમલો કરવામાં આવ્યો હતો.

ઑનલાઇન સ્ટોરના કોડમાં CoffeMokko કેવી રીતે લાગુ કરવામાં આવે છે

આ પરિવારના સંચાલકો દરેક ચેપ માટે અનન્ય સ્નિફર બનાવે છે: સ્નિફર ફાઇલ ડિરેક્ટરીમાં સ્થિત છે સ્રોત અથવા js હુમલાખોરોના સર્વર પર. સાઇટ કોડમાં સમાવેશ સ્નિફરની સીધી લિંક દ્વારા કરવામાં આવે છે.

સ્નિફર કોડ ફોર્મ ફીલ્ડના નામોને હાર્ડકોડ કરે છે જેમાંથી ડેટાની ચોરી કરવાની જરૂર છે. સ્નિફર વપરાશકર્તાના વર્તમાન સરનામા સાથે કીવર્ડ્સની સૂચિને ચકાસીને પેમેન્ટ પેજ પર છે કે કેમ તે પણ તપાસે છે.

સ્નિફરની કેટલીક શોધાયેલ આવૃત્તિઓ અસ્પષ્ટ હતી અને તેમાં એક એનક્રિપ્ટેડ સ્ટ્રિંગ હતી જેમાં સંસાધનોની મુખ્ય શ્રેણી સંગ્રહિત હતી: તેમાં વિવિધ ચુકવણી સિસ્ટમો માટેના ફોર્મ ફીલ્ડના નામ તેમજ ચોરાયેલ ડેટા મોકલવો જોઈએ તે ગેટ સરનામું શામેલ છે.

ચોરાયેલી ચુકવણીની માહિતી હુમલાખોરોના સર્વર પરની સ્ક્રિપ્ટમાં મોકલવામાં આવી હતી /savePayment/index.php અથવા /tr/index.php. સંભવતઃ, આ સ્ક્રિપ્ટનો ઉપયોગ ગેટમાંથી મુખ્ય સર્વર પર ડેટા મોકલવા માટે થાય છે, જે તમામ સ્નિફરના ડેટાને એકીકૃત કરે છે. પ્રસારિત ડેટા છુપાવવા માટે, પીડિતની તમામ ચુકવણી માહિતીનો ઉપયોગ કરીને એન્ક્રિપ્ટ કરવામાં આવે છે base64, અને પછી ઘણા અક્ષર અવેજી થાય છે:

• "e" અક્ષરને ":" વડે બદલવામાં આવે છે.
• "w" પ્રતીકને "+" સાથે બદલવામાં આવે છે
• "o" અક્ષરને "%" સાથે બદલવામાં આવે છે
• "ડી" અક્ષરને "#" સાથે બદલવામાં આવે છે
• અક્ષર "a" ને "-" સાથે બદલવામાં આવે છે
• પ્રતીક "7" ને "^" સાથે બદલવામાં આવે છે
• અક્ષર "h" ને "_" થી બદલવામાં આવે છે
• "T" પ્રતીકને "@" સાથે બદલવામાં આવે છે
• અક્ષર "0" ને "/" દ્વારા બદલવામાં આવે છે
• "Y" અક્ષરને "*" સાથે બદલવામાં આવે છે

નો ઉપયોગ કરીને એન્કોડ કરેલા અક્ષરોના અવેજીના પરિણામે base64 વિપરીત રૂપાંતરણ કર્યા વિના ડેટાને ડીકોડ કરી શકાતો નથી.

આ સ્નિફર કોડનો ટુકડો જે અસ્પષ્ટ નથી તે આવો દેખાય છે:

ઈન્ફ્રાસ્ટ્રક્ચર વિશ્લેષણ

પ્રારંભિક ઝુંબેશમાં, હુમલાખોરોએ કાયદેસરની ઓનલાઈન શોપિંગ સાઇટ્સના ડોમેન નામો જેવા જ રજીસ્ટર કર્યા હતા. તેમનું ડોમેન કાયદેસર એક-એક પ્રતીક અથવા અન્ય TLD થી અલગ હોઈ શકે છે. નોંધાયેલા ડોમેન્સનો ઉપયોગ સ્નિફર કોડ સ્ટોર કરવા માટે કરવામાં આવતો હતો, જેની લિંક સ્ટોર કોડમાં એમ્બેડ કરવામાં આવી હતી.

આ જૂથે ડોમેન નામોનો પણ ઉપયોગ કર્યો હતો જે લોકપ્રિય jQuery પ્લગિન્સના નામોને મળતા આવે છે (slickjs[.]org પ્લગઇનનો ઉપયોગ કરતી સાઇટ્સ માટે slick.js), પેમેન્ટ ગેટવે (sagecdn[.]org સેજ પે પેમેન્ટ સિસ્ટમનો ઉપયોગ કરતી સાઇટ્સ માટે).

પાછળથી, જૂથે એવા ડોમેન્સ બનાવવાનું શરૂ કર્યું કે જેના નામને સ્ટોરના ડોમેન અથવા સ્ટોરની થીમ સાથે કોઈ લેવાદેવા નથી.

દરેક ડોમેન તે સાઇટને અનુરૂપ છે કે જેના પર ડિરેક્ટરી બનાવવામાં આવી હતી /જેએસ અથવા /src. આ નિર્દેશિકામાં સ્નિફર સ્ક્રિપ્ટો સંગ્રહિત કરવામાં આવી હતી: દરેક નવા ચેપ માટે એક સ્નિફર. સ્નિફર સીધી લિંક દ્વારા વેબસાઇટ કોડમાં એમ્બેડ કરવામાં આવ્યું હતું, પરંતુ ભાગ્યે જ કિસ્સાઓમાં, હુમલાખોરોએ વેબસાઇટ ફાઇલોમાંથી એકમાં ફેરફાર કર્યો હતો અને તેમાં દૂષિત કોડ ઉમેર્યો હતો.

કોડ વિશ્લેષણ

પ્રથમ અસ્પષ્ટતા અલ્ગોરિધમ

આ પરિવારના સ્નિફરના કેટલાક શોધાયેલા નમૂનાઓમાં, કોડ અસ્પષ્ટ હતો અને તેમાં સ્નિફર માટે જરૂરી એનક્રિપ્ટેડ ડેટા હતો: ખાસ કરીને, સ્નિફર ગેટ સરનામું, ચુકવણી ફોર્મ ફીલ્ડ્સની સૂચિ અને કેટલાક કિસ્સાઓમાં, નકલી કોડ ચુકવણી ફોર્મ. ફંક્શનની અંદરના કોડમાં, સંસાધનોનો ઉપયોગ કરીને એનક્રિપ્ટ કરવામાં આવ્યા હતા એક્સઓઆર કી દ્વારા જે સમાન કાર્ય માટે દલીલ તરીકે પસાર કરવામાં આવી હતી.

દરેક નમૂના માટે અનન્ય, યોગ્ય કી વડે સ્ટ્રિંગને ડિક્રિપ્ટ કરીને, તમે વિભાજક અક્ષર દ્વારા અલગ કરાયેલ સ્નિફર કોડમાંથી તમામ સ્ટ્રિંગ ધરાવતી સ્ટ્રિંગ મેળવી શકો છો.

બીજું અસ્પષ્ટતા અલ્ગોરિધમ

આ પરિવારના સ્નિફર્સના પછીના નમૂનાઓમાં, એક અલગ અસ્પષ્ટ પદ્ધતિનો ઉપયોગ કરવામાં આવ્યો હતો: આ કિસ્સામાં, ડેટા સ્વ-લેખિત અલ્ગોરિધમનો ઉપયોગ કરીને એન્ક્રિપ્ટ કરવામાં આવ્યો હતો. સ્નિફરને ઓપરેટ કરવા માટે જરૂરી એનક્રિપ્ટેડ ડેટા ધરાવતી સ્ટ્રિંગ ડિક્રિપ્શન ફંક્શનની દલીલ તરીકે પસાર કરવામાં આવી હતી.

બ્રાઉઝર કન્સોલનો ઉપયોગ કરીને, તમે એન્ક્રિપ્ટેડ ડેટાને ડિક્રિપ્ટ કરી શકો છો અને સ્નિફર સંસાધનો ધરાવતો એરે મેળવી શકો છો.

પ્રારંભિક મેજકાર્ટ હુમલાઓ સાથે જોડાણ

ચોરાયેલા ડેટાને એકત્રિત કરવા માટે ગેટવે તરીકે જૂથ દ્વારા ઉપયોગમાં લેવાતા ડોમેન્સમાંથી એકના વિશ્લેષણ દરમિયાન, એવું જાણવા મળ્યું હતું કે આ ડોમેન ક્રેડિટ કાર્ડની ચોરી માટેનું એક ઇન્ફ્રાસ્ટ્રક્ચર હોસ્ટ કરે છે, જે જૂથ 1 દ્વારા ઉપયોગમાં લેવાતું હતું, જે પ્રથમ જૂથોમાંના એક, શોધ્યું RiskIQ નિષ્ણાતો દ્વારા.

સ્નિફર્સના કોફેમોક્કો પરિવારના યજમાન પર બે ફાઇલો મળી આવી હતી:

• mage.js — ગેટ એડ્રેસ સાથે ગ્રુપ 1 સ્નિફર કોડ ધરાવતી ફાઇલ js-cdn.link
• mag.php - PHP સ્ક્રિપ્ટ સ્નિફર દ્વારા ચોરાયેલ ડેટા એકત્રિત કરવા માટે જવાબદાર છે

mage.js ફાઇલની સામગ્રી
તે પણ નિર્ધારિત કરવામાં આવ્યું હતું કે સ્નિફર્સના કોફેમોક્કો પરિવાર પાછળના જૂથ દ્વારા ઉપયોગમાં લેવાતા સૌથી જૂના ડોમેન્સ મે 17, 2017 ના રોજ નોંધાયેલા હતા:

• લિંક-જેએસ[.]લિંક
• info-js[.]લિંક
• ટ્રેક-જેએસ[.]લિંક
• મેપ-જેએસ[.]લિંક
• smart-js[.]લિંક

આ ડોમેન નામોનું ફોર્મેટ ગ્રુપ 1 ડોમેન નામો સાથે મેળ ખાય છે જેનો ઉપયોગ 2016ના હુમલામાં કરવામાં આવ્યો હતો.

શોધાયેલ તથ્યોના આધારે, એવું માની શકાય છે કે CoffeMokko સ્નિફર્સ અને ગુનાહિત જૂથ જૂથ 1 ના સંચાલકો વચ્ચે જોડાણ છે. સંભવતઃ, CoffeMokko ઓપરેટરોએ કાર્ડની ચોરી કરવા માટે તેમના પુરોગામી પાસેથી ટૂલ્સ અને સોફ્ટવેર ઉધાર લીધા હશે. જો કે, એવી શક્યતા વધુ છે કે સ્નિફર્સના કોફેમોક્કો પરિવારના ઉપયોગ પાછળના ગુનાહિત જૂથ એ જ લોકો છે જેમણે જૂથ 1 પર હુમલો કર્યો હતો. ગુનાહિત જૂથની પ્રવૃત્તિઓ અંગેના પ્રથમ અહેવાલના પ્રકાશન પછી, તેમના તમામ ડોમેન નામો હતા. અવરોધિત અને સાધનોનો વિગતવાર અભ્યાસ અને વર્ણન કરવામાં આવ્યું હતું. જૂથને વિરામ લેવાની, તેના આંતરિક સાધનોને રિફાઇન કરવાની અને તેના હુમલાઓ ચાલુ રાખવા અને અજાણ્યા રહેવા માટે સ્નિફર કોડને ફરીથી લખવાની ફરજ પડી હતી.

ઈન્ફ્રાસ્ટ્રક્ચર

ડોમેન	શોધ/દેખાવની તારીખ
link-js.link	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
security-payment.su	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
parks.su	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

સોર્સ: www.habr.com