चार जावास्क्रिप्ट स्निफ़र जो ऑनलाइन स्टोर में आपकी प्रतीक्षा में हैं

हममें से लगभग हर कोई ऑनलाइन स्टोर की सेवाओं का उपयोग करता है, जिसका अर्थ है कि देर-सबेर हम जावास्क्रिप्ट स्निफ़र्स का शिकार बनने का जोखिम उठाते हैं - एक विशेष कोड जिसे हमलावर बैंक कार्ड डेटा, पते, उपयोगकर्ता नाम और पासवर्ड चुराने के लिए एक वेबसाइट में इंजेक्ट करते हैं। .

ब्रिटिश एयरवेज़ वेबसाइट और मोबाइल ऐप के लगभग 400 उपयोगकर्ता पहले ही स्निफ़र्स से प्रभावित हो चुके हैं, साथ ही ब्रिटिश स्पोर्ट्स दिग्गज FILA वेबसाइट और अमेरिकी टिकट वितरक टिकटमास्टर के आगंतुक भी प्रभावित हुए हैं। पेपाल, चेज़ पेमेंटटेक, यूएसएपे, मोनेरिस - ये और कई अन्य भुगतान प्रणालियाँ संक्रमित हो गई हैं।

थ्रेट इंटेलिजेंस ग्रुप-आईबी के विश्लेषक विक्टर ओकोरोकोव इस बारे में बात करते हैं कि खोजी कैसे वेबसाइट कोड में घुसपैठ करते हैं और भुगतान जानकारी चुराते हैं, साथ ही वे किस सीआरएम पर हमला करते हैं।

"छिपी हुई धमकी"

ऐसा हुआ कि लंबे समय तक जेएस-स्निफ़र्स एंटी-वायरस विश्लेषकों की नज़र से दूर रहे, और बैंकों और भुगतान प्रणालियों ने उन्हें एक गंभीर खतरे के रूप में नहीं देखा। और बिल्कुल व्यर्थ. ग्रुप-आईबी विशेषज्ञ विश्लेषण 2440 संक्रमित ऑनलाइन स्टोर, जिनके विज़िटर - प्रतिदिन लगभग 1,5 लाख लोग - खतरे में थे। पीड़ितों में न केवल उपयोगकर्ता हैं, बल्कि ऑनलाइन स्टोर, भुगतान प्रणाली और बैंक भी हैं जिन्होंने समझौता किए गए कार्ड जारी किए हैं।

रिपोर्ट ग्रुप-आईबी स्निफ़र्स के डार्कनेट बाज़ार, उनके बुनियादी ढांचे और मुद्रीकरण के तरीकों का पहला अध्ययन बन गया, जिससे उनके रचनाकारों को लाखों डॉलर मिले। हमने 38 खोजी परिवारों की पहचान की, जिनमें से केवल 12 ही पहले शोधकर्ताओं को ज्ञात थे।

आइए हम अध्ययन के दौरान खोजे गए खोजी कुत्तों के चार परिवारों पर विस्तार से ध्यान दें।

रिएक्टगेट फैमिली

ऑनलाइन शॉपिंग साइटों पर बैंक कार्ड डेटा चुराने के लिए रिएक्टगेट परिवार के खोजी उपकरणों का उपयोग किया जाता है। स्निफ़र साइट पर उपयोग की जाने वाली बड़ी संख्या में विभिन्न भुगतान प्रणालियों के साथ काम कर सकता है: एक पैरामीटर मान एक भुगतान प्रणाली से मेल खाता है, और स्निफ़र के अलग-अलग खोजे गए संस्करणों का उपयोग क्रेडेंशियल चुराने के साथ-साथ बैंक कार्ड डेटा चुराने के लिए भी किया जा सकता है। तथाकथित यूनिवर्सल स्निफ़र की तरह, एक साथ कई भुगतान प्रणालियों के भुगतान फ़ॉर्म। यह पाया गया कि कुछ मामलों में, हमलावर साइट के प्रशासनिक पैनल तक पहुंच पाने के लिए ऑनलाइन स्टोर प्रशासकों पर फ़िशिंग हमले करते हैं।

स्निफ़र्स के इस परिवार का उपयोग करने वाला अभियान मई 2017 में शुरू हुआ। सीएमएस और प्लेटफ़ॉर्म मैगेंटो, बिगकॉमर्स, शॉपिफाई चलाने वाली साइटों पर हमला किया गया।

कैसे ReactGet एक ऑनलाइन स्टोर के कोड में एम्बेडेड है

लिंक द्वारा "क्लासिक" स्क्रिप्ट इंजेक्शन के अलावा, रिएक्टगेट परिवार के स्निफर ऑपरेटर एक विशेष तकनीक का उपयोग करते हैं: जावास्क्रिप्ट कोड का उपयोग करके, यह जांचता है कि वर्तमान पता जहां उपयोगकर्ता स्थित है, कुछ मानदंडों को पूरा करता है या नहीं। दुर्भावनापूर्ण कोड केवल तभी चलेगा जब वर्तमान URL में कोई सबस्ट्रिंग हो जांच या एक कदम चेकआउट, एक पेज/, आउट/वनपैग, चेकआउट/एक, सीकआउट/एक. इस प्रकार, स्निफर कोड ठीक उसी समय निष्पादित किया जाएगा जब उपयोगकर्ता खरीदारी के लिए भुगतान करने के लिए आगे बढ़ेगा और साइट पर फॉर्म में भुगतान जानकारी दर्ज करेगा।

यह खोजी उपकरण एक गैर-मानक तकनीक का उपयोग करता है। पीड़ित के भुगतान और व्यक्तिगत डेटा को एक साथ एकत्र किया जाता है, एन्कोड किया जाता है base64, और फिर परिणामी स्ट्रिंग का उपयोग दुर्भावनापूर्ण साइट पर अनुरोध भेजने के लिए एक पैरामीटर के रूप में किया जाता है। उदाहरण के लिए, अक्सर गेट का पथ जावास्क्रिप्ट फ़ाइल का अनुकरण करता है सम्मान.जे.एस, data.js और इसी तरह, लेकिन छवि फ़ाइलों के लिंक का भी उपयोग किया जाता है, GIF и जेपीजी. ख़ासियत यह है कि खोजी 1 गुणा 1 पिक्सेल के आकार के साथ एक छवि ऑब्जेक्ट बनाता है और पहले प्राप्त लिंक को एक पैरामीटर के रूप में उपयोग करता है " इमेजिस। यानी यूजर के लिए ट्रैफिक में ऐसा अनुरोध एक नियमित तस्वीर के अनुरोध जैसा दिखेगा। इसी तरह की तकनीक का उपयोग स्निफ़र्स के इमेजआईडी परिवार में किया गया था। इसके अलावा, 1x1 पिक्सेल छवि तकनीक का उपयोग कई वैध ऑनलाइन एनालिटिक्स स्क्रिप्ट में किया जाता है, जो उपयोगकर्ता को गुमराह भी कर सकता है।

संस्करण विश्लेषण

ReactGet स्निफ़र ऑपरेटरों द्वारा उपयोग किए जाने वाले सक्रिय डोमेन के विश्लेषण से स्निफ़र्स के इस परिवार के कई अलग-अलग संस्करण सामने आए। संस्करण अस्पष्टता की उपस्थिति या अनुपस्थिति में भिन्न होते हैं, और इसके अलावा, प्रत्येक खोजी को एक विशिष्ट भुगतान प्रणाली के लिए डिज़ाइन किया गया है जो ऑनलाइन स्टोर के लिए बैंक कार्ड से भुगतान संसाधित करता है। संस्करण संख्या के अनुरूप पैरामीटर के मूल्य को क्रमबद्ध करने के बाद, ग्रुप-आईबी विशेषज्ञों को उपलब्ध स्निफर विविधताओं की एक पूरी सूची प्राप्त हुई, और प्रत्येक स्निफर पृष्ठ कोड में फॉर्म फ़ील्ड के नामों को देखता है, उन्होंने भुगतान प्रणालियों का निर्धारण किया खोजी कुत्ता निशाना बनाता है।

गुप्तचरों और उनसे संबंधित भुगतान प्रणालियों की सूची

सूंघने वाला यूआरएल	भुगतान प्रणाली
Reactjsapi.com/react.js	Authorize.Net
ajaxstatic.com/api.js?v=2.1.1	कार्डसेव
ajaxstatic.com/api.js?v=2.1.2	Authorize.Net
ajaxstatic.com/api.js?v=2.1.3	Authorize.Net
ajaxstatic.com/api.js?v=2.1.4	ईवे रैपिड
ajaxstatic.com/api.js?v=2.1.5	Authorize.Net
ajaxstatic.com/api.js?v=2.1.6	Adyen
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	Authorize.Net
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	Authorize.Net
apitstatus.com/api.js?v=2.1.3	मोनेरिस
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	पेपैल
apitstatus.com/api.js?v=2.1.7	ऋषि वेतन
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	पेपैल
apitstatus.com/api.js?v=2.3.0	Stripe
apitstatus.com/api.js?v=3.0.2	Realex
apitstatus.com/api.js?v=3.0.3	पेपैल
apitstatus.com/api.js?v=3.0.4	लिंकप्वाइंट
apitstatus.com/api.js?v=3.0.5	पेपैल
apitstatus.com/api.js?v=3.0.7	पेपैल
apitstatus.com/api.js?v=3.0.8	डेटाकैश
apitstatus.com/api.js?v=3.0.9	पेपैल
asianfoodgracer.com/footer.js	Authorize.Net
billgetstatus.com/api.js?v=1.2	Authorize.Net
billgetstatus.com/api.js?v=1.3	Authorize.Net
billgetstatus.com/api.js?v=1.4	Authorize.Net
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	Authorize.Net
billgetstatus.com/api.js?v=1.7	मोनेरिस
billgetstatus.com/api.js?v=1.8	ऋषि वेतन
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	Authorize.Net
Cloudodesc.com/gtm.js?v=1.2	Authorize.Net
Cloudodesc.com/gtm.js?v=1.3	एएनजेड ईगेट
Cloudodesc.com/gtm.js?v=2.3	Authorize.Net
Cloudodesc.com/gtm.js?v=2.4	मोनेरिस
Cloudodesc.com/gtm.js?v=2.6	ऋषि वेतन
Cloudodesc.com/gtm.js?v=2.7	ऋषि वेतन
Cloudodesc.com/gtm.js?v=2.8	चेस पेमेंट
Cloudodesc.com/gtm.js?v=2.9	Authorize.Net
Cloudodesc.com/gtm.js?v=2.91	Adyen
Cloudodesc.com/gtm.js?v=2.92	PsiGate
Cloudodesc.com/gtm.js?v=2.93	साइबरसोर्स
Cloudodesc.com/gtm.js?v=2.95	एएनजेड ईगेट
Cloudodesc.com/gtm.js?v=2.97	Realex
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	Authorize.Net
gtmproc.com/gtm.js?v=1.2	Authorize.Net
gtmproc.com/gtm.js?v=1.3	एएनजेड ईगेट
gtmproc.com/gtm.js?v=1.5	पेपैल
gtmproc.com/gtm.js?v=1.6	पेपैल
gtmproc.com/gtm.js?v=1.7	Realex
Livecheckpay.com/api.js?v=2.0	ऋषि वेतन
Livecheckpay.com/api.js?v=2.1	पेपैल
Livecheckpay.com/api.js?v=2.2	Verisign
Livecheckpay.com/api.js?v=2.3	Authorize.Net
Livecheckpay.com/api.js?v=2.4	Verisign
Livecheckpay.com/react.js	Authorize.Net
Livegetpay.com/pay.js?v=2.1.2	एएनजेड ईगेट
Livegetpay.com/pay.js?v=2.1.3	पेपैल
Livegetpay.com/pay.js?v=2.1.5	साइबरसोर्स
Livegetpay.com/pay.js?v=2.1.7	Authorize.Net
Livegetpay.com/pay.js?v=2.1.8	ऋषि वेतन
Livegetpay.com/pay.js?v=2.1.9	Realex
Livegetpay.com/pay.js?v=2.2.0	साइबरसोर्स
Livegetpay.com/pay.js?v=2.2.1	पेपैल
Livegetpay.com/pay.js?v=2.2.2	पेपैल
Livegetpay.com/pay.js?v=2.2.3	पेपैल
Livegetpay.com/pay.js?v=2.2.4	Verisign
Livegetpay.com/pay.js?v=2.2.5	ईवे रैपिड
Livegetpay.com/pay.js?v=2.2.7	ऋषि वेतन
Livegetpay.com/pay.js?v=2.2.8	ऋषि वेतन
Livegetpay.com/pay.js?v=2.2.9	Verisign
Livegetpay.com/pay.js?v=2.3.0	Authorize.Net
Livegetpay.com/pay.js?v=2.3.1	Authorize.Net
Livegetpay.com/pay.js?v=2.3.2	पहला डेटा ग्लोबल गेटवे
Livegetpay.com/pay.js?v=2.3.3	Authorize.Net
Livegetpay.com/pay.js?v=2.3.4	Authorize.Net
Livegetpay.com/pay.js?v=2.3.5	मोनेरिस
Livegetpay.com/pay.js?v=2.3.6	Authorize.Net
Livegetpay.com/pay.js?v=2.3.8	पेपैल
Livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
Mediapack.info/track.js?d=funlove.com	USAePay
Mediapack.info/track.js?d=qbedding.com	Authorize.Net
Mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	पेपैल
mxcounter.com/c.js?v=1.3	Authorize.Net
mxcounter.com/c.js?v=1.4	Stripe
mxcounter.com/c.js?v=1.6	Authorize.Net
mxcounter.com/c.js?v=1.7	ईवे रैपिड
mxcounter.com/c.js?v=1.8	ऋषि वेतन
mxcounter.com/c.js?v=2.0	Authorize.Net
mxcounter.com/c.js?v=2.1	ब्रेनट्री
mxcounter.com/c.js?v=2.10	ब्रेनट्री
mxcounter.com/c.js?v=2.2	पेपैल
mxcounter.com/c.js?v=2.3	ऋषि वेतन
mxcounter.com/c.js?v=2.31	ऋषि वेतन
mxcounter.com/c.js?v=2.32	Authorize.Net
mxcounter.com/c.js?v=2.33	पेपैल
mxcounter.com/c.js?v=2.34	Authorize.Net
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	पेपैल
mxcounter.com/click.js?v=1.3	Authorize.Net
mxcounter.com/click.js?v=1.4	Stripe
mxcounter.com/click.js?v=1.6	Authorize.Net
mxcounter.com/click.js?v=1.7	ईवे रैपिड
mxcounter.com/click.js?v=1.8	ऋषि वेतन
mxcounter.com/click.js?v=2.0	Authorize.Net
mxcounter.com/click.js?v=2.1	ब्रेनट्री
mxcounter.com/click.js?v=2.2	पेपैल
mxcounter.com/click.js?v=2.3	ऋषि वेतन
mxcounter.com/click.js?v=2.31	ऋषि वेतन
mxcounter.com/click.js?v=2.32	Authorize.Net
mxcounter.com/click.js?v=2.33	पेपैल
mxcounter.com/click.js?v=2.34	Authorize.Net
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	Authorize.Net
mxcounter.com/j.js	Authorize.Net
newrelicnet.com/api.js?v=1.2	Authorize.Net
newrelicnet.com/api.js?v=1.4	Authorize.Net
newrelicnet.com/api.js?v=1.8	ऋषि वेतन
newrelicnet.com/api.js?v=4.5	ऋषि वेतन
newrelicnet.com/api.js?v=4.6	वेस्टपैक पेवे
nr-public.com/api.js?v=2.0	पेफोर्ट
nr-public.com/api.js?v=2.1	पेपैल
nr-public.com/api.js?v=2.2	Authorize.Net
nr-public.com/api.js?v=2.3	Stripe
nr-public.com/api.js?v=2.4	पहला डेटा ग्लोबल गेटवे
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Authorize.Net
nr-public.com/api.js?v=2.7	Authorize.Net
nr-public.com/api.js?v=2.8	मोनेरिस
nr-public.com/api.js?v=2.9	Authorize.Net
nr-public.com/api.js?v=3.1	ऋषि वेतन
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	मोनेरिस
nr-public.com/api.js?v=3.5	पेपैल
nr-public.com/api.js?v=3.6	लिंकप्वाइंट
nr-public.com/api.js?v=3.7	वेस्टपैक पेवे
nr-public.com/api.js?v=3.8	Authorize.Net
nr-public.com/api.js?v=4.0	मोनेरिस
nr-public.com/api.js?v=4.0.2	पेपैल
nr-public.com/api.js?v=4.0.3	Adyen
nr-public.com/api.js?v=4.0.4	पेपैल
nr-public.com/api.js?v=4.0.5	Authorize.Net
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	ईबीजचार्ज
nr-public.com/api.js?v=4.0.8	Authorize.Net
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	Authorize.Net
ordercheckpays.com/api.js?v=2.12	पेपैल
ordercheckpays.com/api.js?v=2.13	मोनेरिस
ordercheckpays.com/api.js?v=2.14	Authorize.Net
ordercheckpays.com/api.js?v=2.15	पेपैल
ordercheckpays.com/api.js?v=2.16	पेपैल
ordercheckpays.com/api.js?v=2.17	वेस्टपैक पेवे
ordercheckpays.com/api.js?v=2.18	Authorize.Net
ordercheckpays.com/api.js?v=2.19	Authorize.Net
ordercheckpays.com/api.js?v=2.21	ऋषि वेतन
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	Authorize.Net
ordercheckpays.com/api.js?v=2.24	पेपैल
ordercheckpays.com/api.js?v=2.25	पेफोर्ट
ordercheckpays.com/api.js?v=2.29	साइबरसोर्स
ordercheckpays.com/api.js?v=2.4	PayPal Payflow प्रो
ordercheckpays.com/api.js?v=2.7	Authorize.Net
ordercheckpays.com/api.js?v=2.8	Authorize.Net
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	Authorize.Net
ordercheckpays.com/api.js?v=3.2	Authorize.Net
ordercheckpays.com/api.js?v=3.3	ऋषि वेतन
ordercheckpays.com/api.js?v=3.4	Authorize.Net
ordercheckpays.com/api.js?v=3.5	Stripe
ordercheckpays.com/api.js?v=3.6	Authorize.Net
ordercheckpays.com/api.js?v=3.7	Authorize.Net
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	पेपैल
ordercheckpays.com/api.js?v=4.0	Authorize.Net
ordercheckpays.com/api.js?v=4.1	Authorize.Net
ordercheckpays.com/api.js?v=4.2	ऋषि वेतन
ordercheckpays.com/api.js?v=4.3	Authorize.Net
Reactjsapi.com/api.js?v=0.1.0	Authorize.Net
Reactjsapi.com/api.js?v=0.1.1	पेपैल
Reactjsapi.com/api.js?v=4.1.2	चकमक पत्थर
Reactjsapi.com/api.js?v=4.1.4	पेपैल
Reactjsapi.com/api.js?v=4.1.5	ऋषि वेतन
Reactjsapi.com/api.js?v=4.1.51	Verisign
Reactjsapi.com/api.js?v=4.1.6	Authorize.Net
Reactjsapi.com/api.js?v=4.1.7	Authorize.Net
Reactjsapi.com/api.js?v=4.1.8	Stripe
Reactjsapi.com/api.js?v=4.1.9	मोटा ज़ेबरा
Reactjsapi.com/api.js?v=4.2.0	ऋषि वेतन
Reactjsapi.com/api.js?v=4.2.1	Authorize.Net
Reactjsapi.com/api.js?v=4.2.2	पहला डेटा ग्लोबल गेटवे
Reactjsapi.com/api.js?v=4.2.3	Authorize.Net
Reactjsapi.com/api.js?v=4.2.4	ईवे रैपिड
Reactjsapi.com/api.js?v=4.2.5	Adyen
Reactjsapi.com/api.js?v=4.2.7	पेपैल
Reactjsapi.com/api.js?v=4.2.8	क्विकबुक मर्चेंट सर्विसेज
Reactjsapi.com/api.js?v=4.2.9	Verisign
Reactjsapi.com/api.js?v=4.2.91	ऋषि वेतन
Reactjsapi.com/api.js?v=4.2.92	Verisign
Reactjsapi.com/api.js?v=4.2.94	Authorize.Net
Reactjsapi.com/api.js?v=4.3.97	Authorize.Net
Reactjsapi.com/api.js?v=4.5	ऋषि वेतन
Reactjsapi.com/react.js	Authorize.Net
sydneysalonsupplies.com/gtm.js	ईवे रैपिड
tagsmediaget.com/react.js	Authorize.Net
tagstracking.com/tag.js?v=2.1.2	एएनजेड ईगेट
tagstracking.com/tag.js?v=2.1.3	पेपैल
tagstracking.com/tag.js?v=2.1.5	साइबरसोर्स
tagstracking.com/tag.js?v=2.1.7	Authorize.Net
tagstracking.com/tag.js?v=2.1.8	ऋषि वेतन
tagstracking.com/tag.js?v=2.1.9	Realex
tagstracking.com/tag.js?v=2.2.0	साइबरसोर्स
tagstracking.com/tag.js?v=2.2.1	पेपैल
tagstracking.com/tag.js?v=2.2.2	पेपैल
tagstracking.com/tag.js?v=2.2.3	पेपैल
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	ईवे रैपिड
tagstracking.com/tag.js?v=2.2.7	ऋषि वेतन
tagstracking.com/tag.js?v=2.2.8	ऋषि वेतन
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	Authorize.Net
tagstracking.com/tag.js?v=2.3.1	Authorize.Net
tagstracking.com/tag.js?v=2.3.2	पहला डेटा ग्लोबल गेटवे
tagstracking.com/tag.js?v=2.3.3	Authorize.Net
tagstracking.com/tag.js?v=2.3.4	Authorize.Net
tagstracking.com/tag.js?v=2.3.5	मोनेरिस
tagstracking.com/tag.js?v=2.3.6	Authorize.Net
tagstracking.com/tag.js?v=2.3.8	पेपैल

पासवर्ड खोजी

किसी वेबसाइट के क्लाइंट पक्ष पर काम करने वाले जावास्क्रिप्ट स्निफ़र्स के फायदों में से एक इसकी बहुमुखी प्रतिभा है: किसी वेबसाइट पर एम्बेड किया गया दुर्भावनापूर्ण कोड किसी भी प्रकार का डेटा चुरा सकता है, चाहे वह भुगतान जानकारी हो या उपयोगकर्ता खाते से लॉगिन और पासवर्ड हो। ग्रुप-आईबी विशेषज्ञों ने रिएक्टगेट परिवार से संबंधित एक खोजी उपकरण का एक नमूना खोजा, जिसे साइट उपयोगकर्ताओं के ईमेल पते और पासवर्ड चुराने के लिए डिज़ाइन किया गया था।

ImageID खोजी के साथ प्रतिच्छेदन

संक्रमित दुकानों में से एक के विश्लेषण के दौरान, यह पाया गया कि इसकी वेबसाइट दो बार संक्रमित हुई थी: रिएक्टगेट परिवार स्निफर के दुर्भावनापूर्ण कोड के अलावा, इमेजआईडी परिवार स्निफर का कोड पाया गया था। यह ओवरलैप इस बात का सबूत हो सकता है कि दोनों स्निफ़र के पीछे के ऑपरेटर दुर्भावनापूर्ण कोड डालने के लिए समान तकनीकों का उपयोग कर रहे हैं।

सार्वभौमिक खोजी

रिएक्टगेट स्निफर इंफ्रास्ट्रक्चर से संबंधित डोमेन नामों में से एक के विश्लेषण के दौरान, यह पाया गया कि एक ही उपयोगकर्ता ने तीन अन्य डोमेन नाम पंजीकृत किए। ये तीन डोमेन वास्तविक जीवन साइटों के डोमेन की नकल करते थे और पहले इनका उपयोग स्निफ़र्स को होस्ट करने के लिए किया जाता था। तीन वैध साइटों के कोड का विश्लेषण करते समय, एक अज्ञात स्निफ़र पाया गया, और आगे के विश्लेषण से पता चला कि यह रिएक्टगेट स्निफ़र का एक उन्नत संस्करण है। स्निफ़र के इस परिवार के पहले ट्रैक किए गए सभी संस्करणों को एक ही भुगतान प्रणाली पर लक्षित किया गया था, यानी, प्रत्येक भुगतान प्रणाली के लिए स्निफ़र का एक विशेष संस्करण आवश्यक था। हालाँकि, इस मामले में, खोजी उपकरण का एक सार्वभौमिक संस्करण खोजा गया था, जो ऑनलाइन भुगतान के लिए 15 विभिन्न भुगतान प्रणालियों और ईकॉमर्स साइटों के मॉड्यूल से संबंधित फॉर्म से जानकारी चुराने में सक्षम था।

इसलिए, काम की शुरुआत में, खोजी ने पीड़ित की व्यक्तिगत जानकारी वाले बुनियादी फॉर्म फ़ील्ड की खोज की: पूरा नाम, भौतिक पता, फोन नंबर।

इसके बाद खोजकर्ता ने ऑनलाइन भुगतान के लिए विभिन्न भुगतान प्रणालियों और मॉड्यूल के अनुरूप 15 से अधिक विभिन्न उपसर्गों की खोज की।

इसके बाद, पीड़ित के व्यक्तिगत डेटा और भुगतान की जानकारी को एक साथ एकत्र किया गया और हमलावर द्वारा नियंत्रित साइट पर भेजा गया: इस विशेष मामले में, रिएक्टगेट यूनिवर्सल स्निफर के दो संस्करण दो अलग-अलग हैक की गई साइटों पर पाए गए। हालाँकि, दोनों संस्करणों ने चुराए गए डेटा को एक ही हैक की गई साइट पर भेज दिया। Zoobashop.com.

पीड़ित की भुगतान जानकारी वाले फ़ील्ड ढूंढने के लिए स्निफ़र द्वारा उपयोग किए गए उपसर्गों के विश्लेषण से यह निर्धारित हुआ कि यह स्निफ़र नमूना निम्नलिखित भुगतान प्रणालियों को लक्षित करता है:

• Authorize.Net
• Verisign
• पहला डेटा
• USAePay
• Stripe
• पेपैल
• एएनजेड ईगेट
• ब्रेनट्री
• डेटा कैश (मास्टरकार्ड)
• रियलएक्स भुगतान
• PsiGate
• हार्टलैंड भुगतान प्रणाली

भुगतान जानकारी चुराने के लिए कौन से टूल का उपयोग किया जाता है?

हमलावरों के बुनियादी ढांचे के विश्लेषण के दौरान खोजा गया पहला उपकरण बैंक कार्डों की चोरी के लिए जिम्मेदार दुर्भावनापूर्ण स्क्रिप्ट को अस्पष्ट करने का काम करता है। प्रोजेक्ट के सीएलआई का उपयोग करने वाली एक बैश स्क्रिप्ट एक हमलावर के होस्ट पर पाई गई थी। javascript-obfuscator स्निफ़र कोड अस्पष्टता को स्वचालित करने के लिए।

दूसरा खोजा गया उपकरण मुख्य खोजी उपकरण को लोड करने के लिए जिम्मेदार कोड उत्पन्न करने के लिए डिज़ाइन किया गया है। यह टूल एक जावास्क्रिप्ट कोड उत्पन्न करता है जो स्ट्रिंग के लिए उपयोगकर्ता के वर्तमान पते को खोजकर जांच करता है कि उपयोगकर्ता चेकआउट पृष्ठ पर है या नहीं जांच, गाड़ी और इसी तरह, और यदि परिणाम सकारात्मक है, तो कोड घुसपैठिए के सर्वर से मुख्य खोजी उपकरण को लोड करता है। दुर्भावनापूर्ण गतिविधि को छिपाने के लिए, भुगतान पृष्ठ निर्धारित करने के लिए परीक्षण लाइनों के साथ-साथ स्निफ़र के लिंक सहित सभी पंक्तियों को एन्कोड किया गया है base64.

फ़िशिंग हमले

हमलावरों के नेटवर्क बुनियादी ढांचे के विश्लेषण के दौरान, यह पाया गया कि आपराधिक समूह अक्सर लक्ष्य ऑनलाइन स्टोर के प्रशासनिक पैनल तक पहुंच प्राप्त करने के लिए फ़िशिंग का उपयोग करता है। हमलावर एक डोमेन पंजीकृत करते हैं जो स्टोर डोमेन जैसा दिखता है और फिर उस पर एक नकली मैगेंटो एडमिन लॉगिन फॉर्म तैनात करते हैं। सफल होने पर, हमलावरों को मैगेंटो सीएमएस एडमिन पैनल तक पहुंच प्राप्त होगी, जो उन्हें साइट घटकों को संपादित करने और क्रेडिट कार्ड डेटा चुराने के लिए एक खोजी को लागू करने की क्षमता देता है।

इंफ्रास्ट्रक्चर

डोमेन नाम	खोज/उपस्थिति की तिथि
मीडियापैक.जानकारी	04.05.2017
adgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
Reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagtracking.com	25.06.2018
adsapigate.com	12.07.2018
Trusttracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs- payment.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
Cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
लाइवचेकपे.कॉम	21.01.2019
asianfoodgracer.com	25.01.2019

जी-एनालिटिक्स परिवार

खोजी कुत्तों के इस परिवार का उपयोग ऑनलाइन स्टोर से ग्राहक कार्ड चुराने के लिए किया जाता है। समूह द्वारा उपयोग किया जाने वाला पहला डोमेन नाम अप्रैल 2016 में पंजीकृत किया गया था, जो 2016 के मध्य में समूह की गतिविधि की शुरुआत का संकेत दे सकता है।

वर्तमान अभियान में, समूह उन डोमेन नामों का उपयोग करता है जो Google Analytics और jQuery जैसी वास्तविक जीवन सेवाओं की नकल करते हैं, वैध स्क्रिप्ट और वैध दिखने वाले डोमेन नामों के साथ खोजी गतिविधि को छिपाते हैं। CMS Magento के अंतर्गत चलने वाली वेबसाइटों पर हमला किया गया।

ऑनलाइन स्टोर कोड में जी-एनालिटिक्स कैसे लागू किया जाता है

इस परिवार की एक विशिष्ट विशेषता उपयोगकर्ता भुगतान जानकारी चुराने के विभिन्न तरीकों का उपयोग है। साइट के क्लाइंट पक्ष में क्लासिक जावास्क्रिप्ट इंजेक्शन के अलावा, आपराधिक समूह ने साइट के सर्वर साइड में कोड इंजेक्ट करने की तकनीक का भी उपयोग किया, अर्थात् PHP स्क्रिप्ट जो उपयोगकर्ता इनपुट को संसाधित करती है। यह तकनीक इस मायने में खतरनाक है कि इससे तीसरे पक्ष के शोधकर्ताओं के लिए दुर्भावनापूर्ण कोड का पता लगाना मुश्किल हो जाता है। ग्रुप-आईबी विशेषज्ञों ने डोमेन को गेट के रूप में उपयोग करते हुए साइट के PHP कोड में एम्बेडेड स्निफर के एक संस्करण की खोज की dittm.org.

खोजी उपकरण का एक प्रारंभिक संस्करण भी खोजा गया था जो चोरी किए गए डेटा को एकत्र करने के लिए उसी डोमेन का उपयोग करता है। dittm.org, लेकिन यह संस्करण पहले से ही ऑनलाइन स्टोर के क्लाइंट साइड पर इंस्टॉलेशन के लिए है।

बाद में, समूह ने अपनी रणनीति बदल दी और दुर्भावनापूर्ण गतिविधि को छिपाने और छलावरण पर अधिक ध्यान देना शुरू कर दिया।

2017 की शुरुआत में, समूह ने डोमेन का उपयोग करना शुरू किया jquery-js.comjQuery के लिए CDN के रूप में प्रच्छन्न होना: किसी दुर्भावनापूर्ण साइट पर जाने पर उपयोगकर्ता को एक वैध साइट पर पुनर्निर्देशित करता है jquery.com.

और 2018 के मध्य में, समूह ने एक डोमेन नाम अपनाया g-analytics.com और गुप्तचर की गतिविधि को वैध Google Analytics सेवा के रूप में छिपाना शुरू कर दिया।

संस्करण विश्लेषण

स्निफ़र कोड को संग्रहीत करने के लिए उपयोग किए जाने वाले डोमेन के विश्लेषण के दौरान, यह पाया गया कि साइट में बड़ी संख्या में संस्करण हैं जो अस्पष्टता की उपस्थिति में भिन्न हैं, साथ ही ध्यान भटकाने के लिए फ़ाइल में जोड़े गए अप्राप्य कोड की उपस्थिति या अनुपस्थिति भी है। और दुर्भावनापूर्ण कोड छिपाएँ।

साइट पर कुल jquery-js.com खोजी कुत्तों के छह संस्करणों की पहचान की गई। ये खोजी उपकरण चुराए गए डेटा को खोजी की ही साइट पर स्थित पते पर भेजते हैं: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

बाद का डोमेन g-analytics.com2018 के मध्य से हमलों में समूह द्वारा उपयोग किया गया, अधिक खोजी लोगों के लिए भंडार के रूप में कार्य करता है। कुल मिलाकर, खोजी यंत्र के 16 विभिन्न संस्करण खोजे गए। इस मामले में, चुराए गए डेटा को भेजने का गेट प्रारूप की एक छवि के लिंक के रूप में छिपा हुआ था GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

चुराए गए डेटा का मुद्रीकरण

आपराधिक समूह एक विशेष रूप से बनाए गए भूमिगत स्टोर के माध्यम से कार्ड बेचकर चुराए गए डेटा का मुद्रीकरण करता है जो कार्डर्स को सेवाएं प्रदान करता है। हमलावरों द्वारा उपयोग किए गए डोमेन के विश्लेषण से यह निर्धारित करना संभव हो गया google-analytics.cm डोमेन के समान उपयोगकर्ता द्वारा पंजीकृत किया गया था कार्डज़.वीसी. कार्यक्षेत्र कार्डज़.वीसी कार्डसर्फ्स (फ्लाईसर्फ्स) को संदर्भित करता है, जो चोरी किए गए बैंक कार्ड बेचने वाला एक स्टोर है, जिसने अल्फाबे भूमिगत बाजार के दौरान एक स्निफर का उपयोग करके चुराए गए बैंक कार्ड बेचने वाले स्टोर के रूप में लोकप्रियता हासिल की।

डोमेन का विश्लेषण विश्लेषणात्मक हैचोरी किए गए डेटा को इकट्ठा करने के लिए स्निफ़र्स द्वारा उपयोग किए जाने वाले डोमेन के समान सर्वर पर स्थित, ग्रुप-आईबी विशेषज्ञों को कुकी चोरी करने वाले लॉग वाली एक फ़ाइल मिली, जो, ऐसा लगता है, बाद में डेवलपर द्वारा छोड़ दी गई थी। लॉग की प्रविष्टियों में से एक में एक डोमेन था ioozoz.com, जिसका उपयोग पहले 2016 में सक्रिय स्निफ़र्स में से एक में किया गया था। संभवतः, इस डोमेन का उपयोग पहले एक हमलावर द्वारा गुप्तचर का उपयोग करके चुराए गए कार्ड एकत्र करने के लिए किया जाता था। यह डोमेन एक ईमेल पते पर पंजीकृत किया गया था [ईमेल संरक्षित], जिसका उपयोग डोमेन पंजीकृत करने के लिए भी किया जाता था कार्डज़.सु и कार्डज़.वीसीकार्डसर्फ्स कार्डिंग दुकान से संबंधित।

प्राप्त आंकड़ों के आधार पर, यह माना जा सकता है कि जी-एनालिटिक्स स्निफ़र परिवार और भूमिगत कार्डसर्फ्स बैंक कार्ड स्टोर एक ही लोगों द्वारा चलाए जाते हैं, और स्टोर का उपयोग स्निफ़र का उपयोग करके चुराए गए बैंक कार्ड बेचने के लिए किया जाता है।

इंफ्रास्ट्रक्चर

डोमेन नाम	खोज/उपस्थिति की तिथि
ioozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytical.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
विश्लेषणात्मक है	28.12.2018
googlelc-analytics.cm	17.01.2019

इल्लुम परिवार

इलम खोजी कुत्तों का एक परिवार है जिसका उपयोग मैगेंटो सीएमएस चलाने वाले ऑनलाइन स्टोर पर हमला करने के लिए किया जाता है। दुर्भावनापूर्ण कोड की शुरूआत के अलावा, इस खोजी के संचालक पूर्ण विकसित नकली भुगतान फॉर्म की शुरूआत का भी उपयोग करते हैं जो हमलावरों द्वारा नियंत्रित गेटों पर डेटा भेजते हैं।

इस स्निफ़र के ऑपरेटरों द्वारा उपयोग किए जाने वाले नेटवर्क बुनियादी ढांचे का विश्लेषण करते समय, बड़ी संख्या में दुर्भावनापूर्ण स्क्रिप्ट, कारनामे, नकली भुगतान फ़ॉर्म, साथ ही दुर्भावनापूर्ण स्निफ़र प्रतिस्पर्धियों के साथ उदाहरणों का संग्रह नोट किया गया था। समूह द्वारा उपयोग किए गए डोमेन नामों की उपस्थिति की तारीखों के बारे में जानकारी के आधार पर, यह माना जा सकता है कि अभियान की शुरुआत 2016 के अंत में होगी।

एक ऑनलाइन स्टोर के कोड में इलम को कैसे लागू किया जाता है

खोजी उपकरण के पहले खोजे गए संस्करण सीधे समझौता किए गए साइट के कोड में एम्बेड किए गए थे। चुराया गया डेटा भेजा गया था cdn.illum[.]pw/records.php, गेट का उपयोग करके एन्कोड किया गया था base64.

बाद में, एक अलग गेट का उपयोग करके खोजी उपकरण का एक पैकेज्ड संस्करण खोजा गया - रिकॉर्ड्स.nstatistics[.]com/records.php.

के अनुसार रिपोर्ट विलेम डी ग्रूट, उसी होस्ट का उपयोग उस स्निफ़र में किया गया था जिस पर कार्यान्वित किया गया था दुकान की वेबसाइट, जर्मन राजनीतिक दल सीएसयू के स्वामित्व में।

आक्रमण स्थल विश्लेषण

ग्रुप-आईबी विशेषज्ञों ने इस आपराधिक समूह द्वारा उपकरणों को संग्रहीत करने और चोरी की जानकारी एकत्र करने के लिए उपयोग की जाने वाली साइट की खोज की और उसका विश्लेषण किया।

हमलावर के सर्वर पर पाए गए उपकरणों में लिनक्स ओएस में विशेषाधिकार वृद्धि के लिए स्क्रिप्ट और शोषण पाए गए: उदाहरण के लिए, माइक कज़ुमक द्वारा विकसित लिनक्स विशेषाधिकार एस्केलेशन चेक स्क्रिप्ट, साथ ही सीवीई-2009-1185 के लिए एक शोषण।

ऑनलाइन स्टोर पर हमला करने के लिए हमलावरों ने सीधे तौर पर दो कारनामों का इस्तेमाल किया: первый दुर्भावनापूर्ण कोड डालने में सक्षम core_config_data CVE-2016-4010 का उपयोग करके, दूसरा Magento CMS प्लगइन्स में RCE भेद्यता का शोषण करता है, जिससे एक कमजोर वेब सर्वर पर मनमाना कोड निष्पादित किया जा सकता है।

साथ ही, सर्वर के विश्लेषण के दौरान, हैक की गई साइटों से भुगतान जानकारी एकत्र करने के लिए हमलावरों द्वारा उपयोग किए जाने वाले खोजी उपकरण और नकली भुगतान फॉर्म के विभिन्न नमूने पाए गए। जैसा कि आप नीचे दी गई सूची से देख सकते हैं, प्रत्येक हैक की गई साइट के लिए कुछ स्क्रिप्ट व्यक्तिगत रूप से बनाई गई थीं, जबकि कुछ सीएमएस और भुगतान गेटवे के लिए एक सार्वभौमिक समाधान का उपयोग किया गया था। उदाहरण के लिए, स्क्रिप्ट segapay_standard.js и segapay_onpage.js सेज पे भुगतान गेटवे का उपयोग करके साइटों पर एम्बेड करने के लिए डिज़ाइन किया गया है।

विभिन्न भुगतान गेटवे के लिए स्क्रिप्ट की सूची

लिपि	भुगतान गेटवे
sr.इलुम[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs_special/topdirenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/ettolenghi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.इलुम[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/mjs/replace_standard.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/check payment.php
sr.इलुम[.]pw/magento/ payment_standard.js	//cdn.illum[.]pw/records.php
sr.इलुम[.]pw/magento/ payment_redirect.js	//payrightnow[.]cf/? payment=
sr.इलुम[.]pw/magento/ payment_redcrypt.js	//payrightnow[.]cf/? payment=
sr.इलुम[.]pw/magento/ payment_forminsite.js	// paymentnow[.]tk/? payment=

मेज़बान अभी भुगतान करें[.]tk, एक स्क्रिप्ट में गेट के रूप में उपयोग किया जाता है payment_forminsite.js, के रूप में खोजा गया था विषयAltName CloudFlare सेवा से संबंधित कई प्रमाणपत्रों में। इसके अलावा, स्क्रिप्ट होस्ट पर स्थित थी दुष्ट.जे.एस. स्क्रिप्ट के नाम से देखते हुए, इसका उपयोग CVE-2016-4010 के शोषण के हिस्से के रूप में किया जा सकता था, जिसकी बदौलत Magento CMS चलाने वाली साइट के फ़ुटर में दुर्भावनापूर्ण कोड डालना संभव है। इस स्क्रिप्ट में होस्ट को गेट के रूप में उपयोग किया जाता था request.requestnet[.]tk, होस्ट के समान प्रमाणपत्र का उपयोग करना अभी भुगतान करें[.]tk.

नकली भुगतान प्रपत्र

नीचे दिया गया आंकड़ा कार्ड डेटा दर्ज करने के लिए एक फॉर्म का एक उदाहरण दिखाता है। इस फॉर्म का उपयोग ऑनलाइन स्टोर वेबसाइट में घुसपैठ करने और कार्ड डेटा चुराने के लिए किया गया था।

निम्नलिखित आंकड़ा एक नकली पेपैल भुगतान फॉर्म का एक उदाहरण है जिसका उपयोग हमलावरों द्वारा इस भुगतान पद्धति का उपयोग करके साइटों में घुसपैठ करने के लिए किया गया था।

इंफ्रास्ट्रक्चर

डोमेन नाम	खोज/उपस्थिति की तिथि
cdn.illum.pw	27/11/2016
रिकॉर्ड्स.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paymentpal.cf	04/09/2017
requestnet.tk	28/06/2017

कॉफ़ीमोक्को परिवार

ऑनलाइन स्टोर उपयोगकर्ताओं के बैंक कार्ड चुराने के लिए डिज़ाइन किए गए स्निफ़र्स के कॉफ़ेमोक्को परिवार का उपयोग कम से कम मई 2017 से किया जा रहा है। संभवतः, 1 में रिस्कआईक्यू विशेषज्ञों द्वारा वर्णित समूह 2016 आपराधिक समूह खोजी कुत्तों के इस परिवार का संचालक है। Magento, OpenCart, WordPress, osCommerce, Shopify जैसी CMS चलाने वाली वेबसाइटों पर हमला किया गया।

कॉफ़ेमोक्को को एक ऑनलाइन स्टोर के कोड में कैसे एम्बेड किया गया है

इस परिवार के संचालक प्रत्येक संक्रमण के लिए अद्वितीय स्निफ़र बनाते हैं: स्निफ़र फ़ाइल निर्देशिका में स्थित होती है " या js हमलावर के सर्वर पर. साइट कोड में कार्यान्वयन स्निफ़र के सीधे लिंक के माध्यम से किया जाता है।

स्निफ़र कोड उन फ़ॉर्म फ़ील्ड के नामों को हार्ड-कोड करता है जिनसे आप डेटा चुराना चाहते हैं। उपयोगकर्ता के वर्तमान पते के सामने कीवर्ड की सूची की जांच करके खोजकर्ता यह भी जांचता है कि उपयोगकर्ता चेकआउट पृष्ठ पर है या नहीं।

स्निफ़र के कुछ खोजे गए संस्करण अस्पष्ट थे और उनमें एक एन्क्रिप्टेड स्ट्रिंग थी जो संसाधनों की मुख्य श्रृंखला को संग्रहीत करती थी: इसमें विभिन्न भुगतान प्रणालियों के लिए फॉर्म फ़ील्ड के नाम शामिल थे, साथ ही उस गेट का पता भी था जिस पर चुराया गया डेटा भेजा जाना चाहिए।

चुराई गई भुगतान जानकारी रास्ते में हमलावरों के सर्वर पर एक स्क्रिप्ट में भेज दी गई थी। /savePayment/index.php या /tr/index.php. संभवतः, इस स्क्रिप्ट का उपयोग गेट से मुख्य सर्वर तक डेटा भेजने के लिए किया जाता है, जो सभी स्निफ़र्स से डेटा को समेकित करता है। प्रेषित डेटा को छिपाने के लिए, पीड़ित की सभी भुगतान जानकारी का उपयोग करके एन्कोड किया जाता है base64, और फिर कई वर्ण प्रतिस्थापन होते हैं:

• अक्षर "ई" को ":" से बदल दिया गया है
• प्रतीक "w" को "+" से बदल दिया गया है
• अक्षर "o" को "%" से बदल दिया गया है
• अक्षर "d" को "#" से बदल दिया गया है
• अक्षर "ए" को "-" से बदल दिया गया है
• प्रतीक "7" को "^" से बदल दिया गया है
• अक्षर "h" को "_" से बदल दिया गया है
• "T" चिन्ह को "@" से बदल दिया गया है
• अक्षर "0" को "/" से बदल दिया गया है
• अक्षर "Y" को "*" से बदल दिया गया है

वर्ण प्रतिस्थापन के परिणामस्वरूप एन्कोड किया गया base64 व्युत्क्रम परिवर्तन के बिना डेटा को डिकोड नहीं किया जा सकता है।

स्निफ़र कोड का एक टुकड़ा जिसे अस्पष्ट नहीं किया गया है वह इस प्रकार दिखता है:

बुनियादी ढाँचा विश्लेषण

शुरुआती अभियानों में, हमलावरों ने वैध ऑनलाइन शॉपिंग साइटों के समान डोमेन नाम पंजीकृत किए। उनका डोमेन वैध डोमेन से एक अक्षर या दूसरे टीएलडी से भिन्न हो सकता है। स्निफ़र कोड को संग्रहीत करने के लिए पंजीकृत डोमेन का उपयोग किया गया था, जिसका लिंक स्टोर कोड में एम्बेडेड था।

इस समूह ने लोकप्रिय jQuery प्लगइन्स की याद दिलाने वाले डोमेन नामों का भी उपयोग किया (slickjs[.]org प्लगइन का उपयोग करने वाली साइटों के लिए चालाक.जेएस), भुगतान द्वार (sagecdn[.]org सेज पे भुगतान प्रणाली का उपयोग करने वाली साइटों के लिए)।

बाद में, समूह ने ऐसे डोमेन बनाना शुरू किया जिनके नाम का स्टोर के डोमेन या स्टोर की थीम से कोई लेना-देना नहीं था।

प्रत्येक डोमेन उस साइट से मेल खाता है जिस पर निर्देशिका बनाई गई थी /जेएस या / src. स्निफ़र स्क्रिप्ट को इस निर्देशिका में संग्रहीत किया गया था: प्रत्येक नए संक्रमण के लिए एक स्निफ़र। खोजी को एक सीधे लिंक के माध्यम से साइट कोड में पेश किया गया था, लेकिन दुर्लभ मामलों में, हमलावरों ने साइट की फ़ाइलों में से एक को संशोधित किया और उसमें दुर्भावनापूर्ण कोड जोड़ा।

कोड विश्लेषण

पहला ऑबफस्केशन एल्गोरिथम

इस परिवार के कुछ स्निफ़र नमूनों में, कोड अस्पष्ट था और इसमें स्निफ़र के काम करने के लिए आवश्यक एन्क्रिप्टेड डेटा शामिल था: विशेष रूप से, स्निफ़र का गेट पता, भुगतान फ़ॉर्म फ़ील्ड की एक सूची, और कुछ मामलों में, एक नकली भुगतान फ़ॉर्म कोड। फ़ंक्शन के अंदर कोड में, संसाधनों को एन्क्रिप्ट किया गया था XOR उस कुंजी द्वारा जिसे उसी फ़ंक्शन के तर्क के रूप में पारित किया गया था।

प्रत्येक नमूने के लिए अद्वितीय संबंधित कुंजी के साथ स्ट्रिंग को डिक्रिप्ट करके, आप एक स्ट्रिंग प्राप्त कर सकते हैं जिसमें एक सीमांकक वर्ण द्वारा अलग किए गए स्निफर कोड से सभी लाइनें शामिल हैं।

दूसरा अस्पष्टीकरण एल्गोरिदम

स्निफ़र्स के इस परिवार के बाद के नमूनों में, एक अलग अस्पष्टीकरण तंत्र का उपयोग किया गया था: इस मामले में, डेटा को स्व-लिखित एल्गोरिदम का उपयोग करके एन्क्रिप्ट किया गया था। स्निफ़र के काम करने के लिए आवश्यक एन्क्रिप्टेड डेटा वाली एक स्ट्रिंग को डिक्रिप्शन फ़ंक्शन के तर्क के रूप में पारित किया गया था।

ब्राउज़र कंसोल का उपयोग करके, आप एन्क्रिप्टेड डेटा को डिक्रिप्ट कर सकते हैं और स्निफ़र संसाधनों वाली एक सरणी प्राप्त कर सकते हैं।

आरंभिक मैजकार्ट हमलों से लिंक करें

चुराए गए डेटा को इकट्ठा करने के लिए समूह द्वारा गेट के रूप में उपयोग किए जाने वाले डोमेन में से एक के विश्लेषण में, यह पाया गया कि क्रेडिट कार्ड चोरी करने के लिए बुनियादी ढांचे को इस डोमेन पर तैनात किया गया था, जो पहले समूहों में से एक, समूह 1 द्वारा उपयोग किए गए के समान था। पाया रिस्कआईक्यू विशेषज्ञ।

कॉफ़ीमोक्को खोजी परिवार के होस्ट पर दो फ़ाइलें मिलीं:

• mage.js - गेट पते के साथ समूह 1 स्निफ़र कोड वाली फ़ाइल js-cdn.link
• पत्रिका.php - PHP स्क्रिप्ट खोजी द्वारा चुराए गए डेटा को एकत्र करने के लिए जिम्मेदार है

Mage.js फ़ाइल की सामग्री
यह भी निर्धारित किया गया है कि कॉफ़ीमोक्को स्निफ़र परिवार के पीछे समूह द्वारा उपयोग किए जाने वाले शुरुआती डोमेन 17 मई, 2017 को पंजीकृत किए गए थे:

• लिंक-जेएस[.]लिंक
• जानकारी-जेएस[.]लिंक
• ट्रैक-जेएस[.]लिंक
• मैप-जेएस[.]लिंक
• स्मार्ट-जेएस[.]लिंक

इन डोमेन नामों का प्रारूप समूह 1 डोमेन नामों के समान है जिनका उपयोग 2016 के हमलों में किया गया था।

खोजे गए तथ्यों के आधार पर, यह माना जा सकता है कि कॉफ़ीमोक्को स्निफ़र ऑपरेटरों और समूह 1 आपराधिक समूह के बीच एक संबंध है। संभवतः, कॉफ़ीमोक्को ऑपरेटरों ने अपने पूर्ववर्तियों से कार्ड चुराने के लिए उपकरण और सॉफ़्टवेयर उधार लिया होगा। हालाँकि, इसकी अधिक संभावना है कि कॉफ़ीमोक्को परिवार के स्निफ़र के उपयोग के पीछे आपराधिक समूह वही लोग हैं जिन्होंने समूह 1 गतिविधियों के हिस्से के रूप में हमलों को अंजाम दिया था। आपराधिक समूह की गतिविधियों पर पहली रिपोर्ट के प्रकाशन के बाद, उनके सभी डोमेन नाम अवरुद्ध कर दिए गए, और टूल का विस्तार से अध्ययन और वर्णन किया गया। समूह को अपने हमलों को जारी रखने और किसी का ध्यान नहीं जाने देने के लिए ब्रेक लेने, अपने आंतरिक उपकरणों को ठीक करने और खोजी कोड को फिर से लिखने के लिए मजबूर होना पड़ा।

इंफ्रास्ट्रक्चर

डोमेन नाम	खोज/उपस्थिति की तिथि
लिंक-जेएस.लिंक	17.05.2017
जानकारी-js.link	17.05.2017
ट्रैक-जेएस.लिंक	17.05.2017
मानचित्र-js.link	17.05.2017
स्मार्ट-जेएस.लिंक	17.05.2017
adorbeauty.org	03.09.2017
सुरक्षा-भुगतान.सु	03.09.2017
Braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
ओकैंडफोर्ट.ओआरजी	10.09.2017
Citywlnery.org	15.09.2017
dobell.su	04.10.2017
childsplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
Misshaus.org	28.11.2017
बैटरी-force.org	01.12.2017
kik-vape.org	01.12.2017
ग्रेटफर्नीचरट्रेडिंगको.ओआरजी	02.12.2017
etradesupply.org	04.12.2017
Replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
वॉलेटगियर.ओआरजी	10.12.2017
dailie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimating.org	23.12.2017
exrpesso.org	02.01.2018
पार्क.सु	09.01.2018
pmtonline.com	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
Teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
बैटरीनार्ट.कॉम	03.04.2018
btosports.net	09.04.2018
चिक्सैडलरी.नेट	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
Authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
बैनरबज़.जानकारी	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
Freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
Freshdepor.com	15.09.2018
swapastore.com	15.09.2018
Verywellfitness.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
Top5value.com	19.11.2018

स्रोत: www.habr.com