ოთხი JavaScript sniffer, რომლებიც გელოდებათ ონლაინ მაღაზიებში

თითქმის ყველა ჩვენგანი ვიყენებთ ონლაინ მაღაზიების მომსახურებებს, რაც ნიშნავს, რომ ადრე თუ გვიან რისკავს გავხდეთ JavaScript სნიფერის მსხვერპლი - სპეციალური კოდი, რომელსაც თავდამსხმელები ახორციელებენ ვებსაიტზე, რათა მოიპარონ საბანკო ბარათის მონაცემები, მისამართები, შესვლა და პაროლები. .

ბრიტანეთის ავიახაზების ვებსაიტისა და მობილური აპლიკაციის თითქმის 400 000 მომხმარებელი უკვე დაზარალდა სნაიფერებით, ასევე სპორტული გიგანტის FILA-ს ბრიტანული ვებსაიტის და ამერიკული ბილეთების დისტრიბუტორის Ticketmaster-ის სტუმრები. PayPal, Chase Paymenttech, USAePay, Moneris - ეს და მრავალი სხვა გადახდის სისტემა დაინფიცირდა.

Threat Intelligence Group-IB-ის ანალიტიკოსი ვიქტორ ოკოროკოვი საუბრობს იმაზე, თუ როგორ შეაღწიონ სნაიფერები ვებსაიტის კოდს და იპარავენ გადახდის ინფორმაციას, ასევე რომელ CRM-ებს თავს ესხმიან.

"ფარული საფრთხე"

მოხდა ისე, რომ დიდი ხნის განმავლობაში JS სნაიფერები რჩებოდნენ ანტივირუსული ანალიტიკოსების თვალთახედვის მიღმა და ბანკები და გადახდის სისტემები მათ არ თვლიდნენ სერიოზულ საფრთხედ. და სრულიად უშედეგოდ. Group-IB ექსპერტები გაანალიზებული 2440 ინფიცირებული ონლაინ მაღაზია, რომელთა ვიზიტორები - სულ დაახლოებით 1,5 მილიონი ადამიანი დღეში - კომპრომისის საფრთხის ქვეშ იმყოფებოდნენ. მსხვერპლთა შორის არიან არა მხოლოდ მომხმარებლები, არამედ ონლაინ მაღაზიები, გადახდის სისტემები და ბანკები, რომლებმაც გასცეს კომპრომეტირებული ბარათები.

Report Group-IB გახდა ბაზრის ბაზრის პირველი შესწავლა სნაიფერებისთვის, მათი ინფრასტრუქტურისა და მონეტიზაციის მეთოდების შესახებ, რაც მათ შემქმნელებს მილიონობით დოლარი მოაქვს. ჩვენ გამოვავლინეთ მძარცველთა 38 ოჯახი, საიდანაც მკვლევარებისთვის მანამდე მხოლოდ 12 იყო ცნობილი.

მოდით დეტალურად ვისაუბროთ კვლევის დროს შესწავლილ სნიფერთა ოთხ ოჯახზე.

ReactGet Family

ReactGet ოჯახის Sniffers გამოიყენება საბანკო ბარათების მონაცემების მოსაპარად ონლაინ სავაჭრო საიტებზე. სნაიფერს შეუძლია იმუშაოს უამრავ სხვადასხვა გადახდის სისტემასთან, რომელიც გამოიყენება საიტზე: ერთი პარამეტრის მნიშვნელობა შეესაბამება ერთ გადახდის სისტემას, ხოლო სნაიფერის ცალკეული აღმოჩენილი ვერსიები შეიძლება გამოყენებულ იქნას რწმუნებათა სიგელების მოსაპარად, ასევე საბანკო ბარათის მონაცემების მოსაპარად. ერთდროულად რამდენიმე გადახდის სისტემის ფორმები, როგორიცაა ეგრეთ წოდებული უნივერსალური სნიფერი. დადგინდა, რომ ზოგიერთ შემთხვევაში, თავდამსხმელები ახორციელებენ ფიშინგ შეტევებს ონლაინ მაღაზიის ადმინისტრატორებზე, რათა მიიღონ წვდომა საიტის ადმინისტრაციულ პანელზე.

2017 წლის მაისში დაიწყო კამპანია სნაიფერების ამ ოჯახის გამოყენებით; თავდასხმა განხორციელდა საიტები, რომლებიც მუშაობენ CMS და Magento, Bigcommerce და Shopify პლატფორმებზე.

როგორ არის დანერგილი ReactGet ონლაინ მაღაზიის კოდში

ბმულის საშუალებით სკრიპტის „კლასიკური“ განხორციელების გარდა, ReactGet სნაიფერების ოჯახის ოპერატორები იყენებენ სპეციალურ ტექნიკას: JavaScript კოდის გამოყენებით, ისინი ამოწმებენ, აკმაყოფილებს თუ არა მიმდინარე მისამართი, სადაც მომხმარებელი მდებარეობს, გარკვეულ კრიტერიუმებს. მავნე კოდი შესრულდება მხოლოდ იმ შემთხვევაში, თუ ქვესტრიქონი იმყოფება მიმდინარე URL-ში გადმოტანა ან ერთი ნაბიჯის გადახდა, ერთი გვერდი/, out/onepag, გატანა/ერთი, კაუტი/ერთი. ამრიგად, სნაიფერის კოდი შესრულდება ზუსტად იმ მომენტში, როდესაც მომხმარებელი გადაიხდის შესყიდვებს და შეიყვანს გადახდის ინფორმაციას საიტზე არსებულ ფორმაში.

ეს სნიფერი იყენებს არასტანდარტულ ტექნიკას. მსხვერპლის გადახდა და პერსონალური მონაცემები გროვდება ერთად და დაშიფრულია გამოყენებით base64, და შემდეგ მიღებული სტრიქონი გამოიყენება პარამეტრად თავდამსხმელთა ვებსაიტზე მოთხოვნის გასაგზავნად. ყველაზე ხშირად, კარიბჭისკენ მიმავალი გზა მიბაძავს JavaScript ფაილს, მაგალითად resp.js, მონაცემები.js და ასე შემდეგ, მაგრამ ასევე გამოიყენება სურათების ფაილების ბმულები, GIF и JPG. თავისებურება იმაში მდგომარეობს, რომ სნიფერი ქმნის გამოსახულების ობიექტს ზომით 1-ზე 1 პიქსელით და პარამეტრად იყენებს ადრე მიღებულ ბმულს. src სურათები. ანუ მომხმარებლისთვის ასეთი მოთხოვნა ტრაფიკში ჰგავს ჩვეულებრივი სურათის მოთხოვნას. მსგავსი ტექნიკა გამოიყენებოდა ImageID სნაიფერების ოჯახში. გარდა ამისა, 1-დან 1 პიქსელიანი გამოსახულების გამოყენების ტექნიკა გამოიყენება ბევრ ლეგიტიმურ ონლაინ ანალიტიკურ სკრიპტში, რამაც ასევე შეიძლება შეცდომაში შეიყვანოს მომხმარებელი.

ვერსიის ანალიზი

ReactGet სნაიფერის ოპერატორების მიერ გამოყენებული აქტიური დომენების ანალიზმა გამოავლინა სნაიფერების ამ ოჯახის მრავალი განსხვავებული ვერსია. ვერსიები განსხვავდება დაბინდვის არსებობით ან არარსებობით, გარდა ამისა, თითოეული სნაიფერი განკუთვნილია კონკრეტული გადახდის სისტემისთვის, რომელიც ამუშავებს საბანკო ბარათით გადახდებს ონლაინ მაღაზიებისთვის. ვერსიის ნომრის შესაბამისი პარამეტრის მნიშვნელობის დალაგების შემდეგ, Group-IB სპეციალისტებმა მიიღეს ხელმისაწვდომი სნაიფერის ვარიაციების სრული სია და იმ ფორმის ველების სახელებით, რომლებსაც თითოეული სნაიფერი ეძებს გვერდის კოდში, მათ დაადგინეს გადახდის სისტემები. რომ სნიფერი მიზნად ისახავს.

სნიფერების სია და მათი შესაბამისი გადახდის სისტემები

Sniffer URL	გადახდის სისტემა
reactjsapi.com/react.js	Authorize.Net
ajaxstatic.com/api.js?v=2.1.1	ბარათის შენახვა
ajaxstatic.com/api.js?v=2.1.2	Authorize.Net
ajaxstatic.com/api.js?v=2.1.3	Authorize.Net
ajaxstatic.com/api.js?v=2.1.4	eWAY Rapid
ajaxstatic.com/api.js?v=2.1.5	Authorize.Net
ajaxstatic.com/api.js?v=2.1.6	ადიენ
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	Authorize.Net
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	Authorize.Net
apitstatus.com/api.js?v=2.1.3	მონერისი
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	PayPal
apitstatus.com/api.js?v=2.1.7	Sage Pay
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	PayPal
apitstatus.com/api.js?v=2.3.0	ზოლიანი
apitstatus.com/api.js?v=3.0.2	რეალექსი
apitstatus.com/api.js?v=3.0.3	PayPal
apitstatus.com/api.js?v=3.0.4	LinkPoint
apitstatus.com/api.js?v=3.0.5	PayPal
apitstatus.com/api.js?v=3.0.7	PayPal
apitstatus.com/api.js?v=3.0.8	DataCash
apitstatus.com/api.js?v=3.0.9	PayPal
asianfoodgracer.com/footer.js	Authorize.Net
billgetstatus.com/api.js?v=1.2	Authorize.Net
billgetstatus.com/api.js?v=1.3	Authorize.Net
billgetstatus.com/api.js?v=1.4	Authorize.Net
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	Authorize.Net
billgetstatus.com/api.js?v=1.7	მონერისი
billgetstatus.com/api.js?v=1.8	Sage Pay
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	Authorize.Net
cloudodesc.com/gtm.js?v=1.2	Authorize.Net
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	Authorize.Net
cloudodesc.com/gtm.js?v=2.4	მონერისი
cloudodesc.com/gtm.js?v=2.6	Sage Pay
cloudodesc.com/gtm.js?v=2.7	Sage Pay
cloudodesc.com/gtm.js?v=2.8	ონლაინ თამაში Chase Paymentech
cloudodesc.com/gtm.js?v=2.9	Authorize.Net
cloudodesc.com/gtm.js?v=2.91	ადიენ
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	კიბერ წყარო
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	რეალექსი
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	Authorize.Net
gtmproc.com/gtm.js?v=1.2	Authorize.Net
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	PayPal
gtmproc.com/gtm.js?v=1.6	PayPal
gtmproc.com/gtm.js?v=1.7	რეალექსი
livecheckpay.com/api.js?v=2.0	Sage Pay
livecheckpay.com/api.js?v=2.1	PayPal
livecheckpay.com/api.js?v=2.2	Verisign
livecheckpay.com/api.js?v=2.3	Authorize.Net
livecheckpay.com/api.js?v=2.4	Verisign
livecheckpay.com/react.js	Authorize.Net
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	PayPal
livegetpay.com/pay.js?v=2.1.5	კიბერ წყარო
livegetpay.com/pay.js?v=2.1.7	Authorize.Net
livegetpay.com/pay.js?v=2.1.8	Sage Pay
livegetpay.com/pay.js?v=2.1.9	რეალექსი
livegetpay.com/pay.js?v=2.2.0	კიბერ წყარო
livegetpay.com/pay.js?v=2.2.1	PayPal
livegetpay.com/pay.js?v=2.2.2	PayPal
livegetpay.com/pay.js?v=2.2.3	PayPal
livegetpay.com/pay.js?v=2.2.4	Verisign
livegetpay.com/pay.js?v=2.2.5	eWAY Rapid
livegetpay.com/pay.js?v=2.2.7	Sage Pay
livegetpay.com/pay.js?v=2.2.8	Sage Pay
livegetpay.com/pay.js?v=2.2.9	Verisign
livegetpay.com/pay.js?v=2.3.0	Authorize.Net
livegetpay.com/pay.js?v=2.3.1	Authorize.Net
livegetpay.com/pay.js?v=2.3.2	პირველი მონაცემთა გლობალური კარიბჭე
livegetpay.com/pay.js?v=2.3.3	Authorize.Net
livegetpay.com/pay.js?v=2.3.4	Authorize.Net
livegetpay.com/pay.js?v=2.3.5	მონერისი
livegetpay.com/pay.js?v=2.3.6	Authorize.Net
livegetpay.com/pay.js?v=2.3.8	PayPal
livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	Authorize.Net
mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	PayPal
mxcounter.com/c.js?v=1.3	Authorize.Net
mxcounter.com/c.js?v=1.4	ზოლიანი
mxcounter.com/c.js?v=1.6	Authorize.Net
mxcounter.com/c.js?v=1.7	eWAY Rapid
mxcounter.com/c.js?v=1.8	Sage Pay
mxcounter.com/c.js?v=2.0	Authorize.Net
mxcounter.com/c.js?v=2.1	Braintree
mxcounter.com/c.js?v=2.10	Braintree
mxcounter.com/c.js?v=2.2	PayPal
mxcounter.com/c.js?v=2.3	Sage Pay
mxcounter.com/c.js?v=2.31	Sage Pay
mxcounter.com/c.js?v=2.32	Authorize.Net
mxcounter.com/c.js?v=2.33	PayPal
mxcounter.com/c.js?v=2.34	Authorize.Net
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	PayPal
mxcounter.com/click.js?v=1.3	Authorize.Net
mxcounter.com/click.js?v=1.4	ზოლიანი
mxcounter.com/click.js?v=1.6	Authorize.Net
mxcounter.com/click.js?v=1.7	eWAY Rapid
mxcounter.com/click.js?v=1.8	Sage Pay
mxcounter.com/click.js?v=2.0	Authorize.Net
mxcounter.com/click.js?v=2.1	Braintree
mxcounter.com/click.js?v=2.2	PayPal
mxcounter.com/click.js?v=2.3	Sage Pay
mxcounter.com/click.js?v=2.31	Sage Pay
mxcounter.com/click.js?v=2.32	Authorize.Net
mxcounter.com/click.js?v=2.33	PayPal
mxcounter.com/click.js?v=2.34	Authorize.Net
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	Authorize.Net
mxcounter.com/j.js	Authorize.Net
newrelicnet.com/api.js?v=1.2	Authorize.Net
newrelicnet.com/api.js?v=1.4	Authorize.Net
newrelicnet.com/api.js?v=1.8	Sage Pay
newrelicnet.com/api.js?v=4.5	Sage Pay
newrelicnet.com/api.js?v=4.6	Westpac PayWay
nr-public.com/api.js?v=2.0	PayFort
nr-public.com/api.js?v=2.1	PayPal
nr-public.com/api.js?v=2.2	Authorize.Net
nr-public.com/api.js?v=2.3	ზოლიანი
nr-public.com/api.js?v=2.4	პირველი მონაცემთა გლობალური კარიბჭე
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Authorize.Net
nr-public.com/api.js?v=2.7	Authorize.Net
nr-public.com/api.js?v=2.8	მონერისი
nr-public.com/api.js?v=2.9	Authorize.Net
nr-public.com/api.js?v=3.1	Sage Pay
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	მონერისი
nr-public.com/api.js?v=3.5	PayPal
nr-public.com/api.js?v=3.6	LinkPoint
nr-public.com/api.js?v=3.7	Westpac PayWay
nr-public.com/api.js?v=3.8	Authorize.Net
nr-public.com/api.js?v=4.0	მონერისი
nr-public.com/api.js?v=4.0.2	PayPal
nr-public.com/api.js?v=4.0.3	ადიენ
nr-public.com/api.js?v=4.0.4	PayPal
nr-public.com/api.js?v=4.0.5	Authorize.Net
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	Authorize.Net
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	Authorize.Net
ordercheckpays.com/api.js?v=2.12	PayPal
ordercheckpays.com/api.js?v=2.13	მონერისი
ordercheckpays.com/api.js?v=2.14	Authorize.Net
ordercheckpays.com/api.js?v=2.15	PayPal
ordercheckpays.com/api.js?v=2.16	PayPal
ordercheckpays.com/api.js?v=2.17	Westpac PayWay
ordercheckpays.com/api.js?v=2.18	Authorize.Net
ordercheckpays.com/api.js?v=2.19	Authorize.Net
ordercheckpays.com/api.js?v=2.21	Sage Pay
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	Authorize.Net
ordercheckpays.com/api.js?v=2.24	PayPal
ordercheckpays.com/api.js?v=2.25	PayFort
ordercheckpays.com/api.js?v=2.29	კიბერ წყარო
ordercheckpays.com/api.js?v=2.4	PayPal Payflow Pro
ordercheckpays.com/api.js?v=2.7	Authorize.Net
ordercheckpays.com/api.js?v=2.8	Authorize.Net
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	Authorize.Net
ordercheckpays.com/api.js?v=3.2	Authorize.Net
ordercheckpays.com/api.js?v=3.3	Sage Pay
ordercheckpays.com/api.js?v=3.4	Authorize.Net
ordercheckpays.com/api.js?v=3.5	ზოლიანი
ordercheckpays.com/api.js?v=3.6	Authorize.Net
ordercheckpays.com/api.js?v=3.7	Authorize.Net
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	PayPal
ordercheckpays.com/api.js?v=4.0	Authorize.Net
ordercheckpays.com/api.js?v=4.1	Authorize.Net
ordercheckpays.com/api.js?v=4.2	Sage Pay
ordercheckpays.com/api.js?v=4.3	Authorize.Net
reactjsapi.com/api.js?v=0.1.0	Authorize.Net
reactjsapi.com/api.js?v=0.1.1	PayPal
reactjsapi.com/api.js?v=4.1.2	Flint
reactjsapi.com/api.js?v=4.1.4	PayPal
reactjsapi.com/api.js?v=4.1.5	Sage Pay
reactjsapi.com/api.js?v=4.1.51	Verisign
reactjsapi.com/api.js?v=4.1.6	Authorize.Net
reactjsapi.com/api.js?v=4.1.7	Authorize.Net
reactjsapi.com/api.js?v=4.1.8	ზოლიანი
reactjsapi.com/api.js?v=4.1.9	მსუქანი ზებრა
reactjsapi.com/api.js?v=4.2.0	Sage Pay
reactjsapi.com/api.js?v=4.2.1	Authorize.Net
reactjsapi.com/api.js?v=4.2.2	პირველი მონაცემთა გლობალური კარიბჭე
reactjsapi.com/api.js?v=4.2.3	Authorize.Net
reactjsapi.com/api.js?v=4.2.4	eWAY Rapid
reactjsapi.com/api.js?v=4.2.5	ადიენ
reactjsapi.com/api.js?v=4.2.7	PayPal
reactjsapi.com/api.js?v=4.2.8	QuickBooks სავაჭრო მომსახურება
reactjsapi.com/api.js?v=4.2.9	Verisign
reactjsapi.com/api.js?v=4.2.91	Sage Pay
reactjsapi.com/api.js?v=4.2.92	Verisign
reactjsapi.com/api.js?v=4.2.94	Authorize.Net
reactjsapi.com/api.js?v=4.3.97	Authorize.Net
reactjsapi.com/api.js?v=4.5	Sage Pay
reactjsapi.com/react.js	Authorize.Net
sydneysalonsupplies.com/gtm.js	eWAY Rapid
tagsmediaget.com/react.js	Authorize.Net
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	PayPal
tagstracking.com/tag.js?v=2.1.5	კიბერ წყარო
tagstracking.com/tag.js?v=2.1.7	Authorize.Net
tagstracking.com/tag.js?v=2.1.8	Sage Pay
tagstracking.com/tag.js?v=2.1.9	რეალექსი
tagstracking.com/tag.js?v=2.2.0	კიბერ წყარო
tagstracking.com/tag.js?v=2.2.1	PayPal
tagstracking.com/tag.js?v=2.2.2	PayPal
tagstracking.com/tag.js?v=2.2.3	PayPal
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	eWAY Rapid
tagstracking.com/tag.js?v=2.2.7	Sage Pay
tagstracking.com/tag.js?v=2.2.8	Sage Pay
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	Authorize.Net
tagstracking.com/tag.js?v=2.3.1	Authorize.Net
tagstracking.com/tag.js?v=2.3.2	პირველი მონაცემთა გლობალური კარიბჭე
tagstracking.com/tag.js?v=2.3.3	Authorize.Net
tagstracking.com/tag.js?v=2.3.4	Authorize.Net
tagstracking.com/tag.js?v=2.3.5	მონერისი
tagstracking.com/tag.js?v=2.3.6	Authorize.Net
tagstracking.com/tag.js?v=2.3.8	PayPal

პაროლის მცველი

ვებსაიტის კლიენტის მხარეს მომუშავე JavaScript სნაიფერის ერთ-ერთი უპირატესობა არის მათი მრავალფეროვნება: ვებსაიტზე ჩაშენებულ მავნე კოდს შეუძლია მოიპაროს ნებისმიერი ტიპის მონაცემები, იქნება ეს გადახდის მონაცემები თუ მომხმარებლის ანგარიშის შესვლა და პაროლი. Group-IB-ის სპეციალისტებმა აღმოაჩინეს სნაიფერის ნიმუში, რომელიც ეკუთვნის ReactGet ოჯახს, რომელიც შექმნილია საიტის მომხმარებლების ელ.ფოსტის მისამართებისა და პაროლების მოსაპარად.

გადაკვეთა ImageID სნიფერთან

ერთ-ერთი ინფიცირებული მაღაზიის ანალიზის დროს დადგინდა, რომ მისი საიტი ორჯერ იყო ინფიცირებული: ReactGet ოჯახის სნაიფერის მავნე კოდის გარდა, გამოვლინდა ImageID ოჯახის სნაიფერის კოდი. ეს გადახურვა შეიძლება იყოს იმის მტკიცებულება, რომ ორივე სნიფერის უკან მყოფი ოპერატორები იყენებენ მსგავს ტექნიკას მავნე კოდის შესაყვანად.

უნივერსალური სნიფერი

ReactGet სნაიფერ ინფრასტრუქტურასთან ასოცირებული დომენის ერთ-ერთი სახელის ანალიზმა აჩვენა, რომ იმავე მომხმარებელმა დაარეგისტრირა სამი სხვა დომენის სახელი. ეს სამი დომენი მიბაძავდა რეალური ვებსაიტების დომენებს და ადრე გამოიყენებოდა სნაიფერების მასპინძლობისთვის. სამი ლეგიტიმური საიტის კოდის გაანალიზებისას აღმოჩენილი იქნა უცნობი სნიფერი და შემდგომმა ანალიზმა აჩვენა, რომ ეს იყო ReactGet სნაიფერის გაუმჯობესებული ვერსია. სნაიფერების ამ ოჯახის ყველა ადრე დაკვირვებული ვერსია მიზნად ისახავდა ერთი გადახდის სისტემას, ანუ თითოეულ გადახდის სისტემას სნიფერის სპეციალურ ვერსიას სჭირდებოდა. თუმცა, ამ შემთხვევაში, აღმოაჩინეს სნიფერის უნივერსალური ვერსია, რომელსაც შეუძლია მოიპაროს ინფორმაცია 15 სხვადასხვა გადახდის სისტემასთან და ელექტრონული კომერციის საიტების მოდულებთან დაკავშირებული ინფორმაციის მოპარვას ონლაინ გადახდების განსახორციელებლად.

ასე რომ, მუშაობის დასაწყისში, სნაიფერი ეძებდა ძირითადი ფორმის ველებს, რომლებიც შეიცავს მსხვერპლის პირად ინფორმაციას: სრული სახელი, ფიზიკური მისამართი, ტელეფონის ნომერი.

შემდეგ სნაიფერმა მოძებნა 15-ზე მეტი სხვადასხვა პრეფიქსი, რომელიც შეესაბამება სხვადასხვა გადახდის სისტემას და ონლაინ გადახდის მოდულს.

შემდეგ, მსხვერპლის პერსონალური მონაცემები და გადახდის ინფორმაცია ერთად შეგროვდა და გადაეგზავნა თავდამსხმელის მიერ კონტროლირებად საიტს: ამ კონკრეტულ შემთხვევაში, აღმოაჩინეს უნივერსალური ReactGet სნაიფერის ორი ვერსია, რომლებიც განლაგებულია ორ სხვადასხვა გატაცებულ საიტზე. თუმცა, ორივე ვერსიამ გაგზავნა მოპარული მონაცემები იმავე გატეხილ საიტზე zoobashop.com.

იმ პრეფიქსების ანალიზმა, რომლებსაც სნაიფერი იყენებდა მსხვერპლის გადახდის ინფორმაციის შემცველი ველების მოსაძებნად, საშუალებას მოგვცემდა განვსაზღვროთ, რომ სნაიფერის ეს ნიმუში გამიზნული იყო შემდეგ გადახდის სისტემებზე:

• Authorize.Net
• Verisign
• პირველი მონაცემები
• USAePay
• ზოლიანი
• PayPal
• ANZ eGate
• Braintree
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• ჰარტლენდის გადახდის სისტემები

რა ინსტრუმენტები გამოიყენება გადახდის ინფორმაციის მოსაპარად?

პირველი ინსტრუმენტი, რომელიც აღმოჩენილია თავდამსხმელთა ინფრასტრუქტურის ანალიზის დროს, გამოიყენება საბანკო ბარათების ქურდობაზე პასუხისმგებელი მავნე სკრიპტების გასაიდუმლოებისთვის. პროექტის CLI-ის გამოყენებით bash სკრიპტი აღმოაჩინეს თავდამსხმელის ერთ-ერთ მასპინძელზე javascript-obfuscator სნაიფერის კოდის დაბინდვის ავტომატიზირება.

მეორე აღმოჩენილი ინსტრუმენტი შექმნილია კოდის გენერირებისთვის, რომელიც პასუხისმგებელია ძირითადი სნაიფერის ჩატვირთვაზე. ეს ინსტრუმენტი აგენერირებს JavaScript კოდს, რომელიც ამოწმებს არის თუ არა მომხმარებელი გადახდის გვერდზე მომხმარებლის მიმდინარე მისამართში სტრიქონების მოძიებით. გადმოტანა, კალათა და ასე შემდეგ, და თუ შედეგი დადებითია, მაშინ კოდი იტვირთება მთავარი სნაიფერი თავდამსხმელთა სერვერიდან. მავნე აქტივობის დასამალად, ყველა ხაზი, მათ შორის სატესტო ხაზები გადახდის გვერდის დასადგენად, ისევე როგორც ბმული სნაიფერთან, დაშიფრულია გამოყენებით base64.

ფიშინგის შეტევები

თავდამსხმელთა ქსელის ინფრასტრუქტურის ანალიზმა აჩვენა, რომ დანაშაულებრივი ჯგუფი ხშირად იყენებს ფიშინგს სამიზნე ონლაინ მაღაზიის ადმინისტრაციულ პანელზე წვდომისთვის. თავდამსხმელები არეგისტრირებენ დომენს, რომელიც ვიზუალურად წააგავს მაღაზიის დომენს და შემდეგ განათავსებენ მასზე ყალბი Magento ადმინისტრაციის პანელის შესვლის ფორმას. წარმატების შემთხვევაში, თავდამსხმელები მიიღებენ წვდომას Magento CMS-ის ადმინისტრაციულ პანელზე, რაც მათ საშუალებას აძლევს შეცვალონ ვებსაიტის კომპონენტები და განახორციელონ სნაიფერი საკრედიტო ბარათის მონაცემების მოსაპარად.

ინფრასტრუქტურის

დომენის	აღმოჩენის/გამოჩენის თარიღი
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

G-Analytics ოჯახი

სნაიფერების ეს ოჯახი გამოიყენება ონლაინ მაღაზიებიდან მომხმარებელთა ბარათების მოსაპარად. ჯგუფის მიერ გამოყენებული პირველი დომენის სახელი დარეგისტრირდა 2016 წლის აპრილში, რაც შეიძლება მიუთითებდეს, რომ ჯგუფმა დაიწყო საქმიანობა 2016 წლის შუა რიცხვებში.

მიმდინარე კამპანიაში ჯგუფი იყენებს დომენის სახელებს, რომლებიც ახდენენ რეალური სერვისების იმიტაციას, როგორიცაა Google Analytics და jQuery, ფარავს სნაიფერების აქტივობას ლეგიტიმური სკრიპტებით და ლეგიტიმური დომენური სახელებით. საიტებზე, რომლებიც მუშაობენ Magento CMS-ზე, თავს დაესხნენ.

როგორ არის დანერგილი G-Analytics ონლაინ მაღაზიის კოდში

ამ ოჯახის გამორჩეული თვისებაა მომხმარებლის გადახდის ინფორმაციის მოსაპარად სხვადასხვა მეთოდის გამოყენება. JavaScript კოდის კლასიკური ინექციის გარდა საიტის კლიენტის მხარეს, კრიმინალური ჯგუფი ასევე იყენებდა კოდის ინექციის ტექნიკას საიტის სერვერის მხარეს, კერძოდ PHP სკრიპტებს, რომლებიც ამუშავებენ მომხმარებლის მიერ შეყვანილ მონაცემებს. ეს ტექნიკა საშიშია, რადგან ართულებს მესამე მხარის მკვლევარებს მავნე კოდის აღმოჩენას. Group-IB სპეციალისტებმა აღმოაჩინეს სნაიფერის ვერსია, რომელიც ჩაშენებულია საიტის PHP კოდში, დომენის გამოყენებით, როგორც კარიბჭე. dittm.org.

ასევე აღმოაჩინეს სნიფერის ადრეული ვერსია, რომელიც იყენებს იმავე დომენს მოპარული მონაცემების შესაგროვებლად dittm.org, მაგრამ ეს ვერსია განკუთვნილია ონლაინ მაღაზიის კლიენტის მხარეს ინსტალაციისთვის.

მოგვიანებით ჯგუფმა შეცვალა თავისი ტაქტიკა და დაიწყო მეტი ფოკუსირება მავნე აქტივობის დამალვაზე და შენიღბვაზე.

2017 წლის დასაწყისში ჯგუფმა დომენის გამოყენება დაიწყო jquery-js.com, jQuery-ის CDN-ის მასკარადირება: თავდამსხმელების საიტზე გადასვლისას მომხმარებელი გადამისამართებულია ლეგიტიმურ საიტზე jquery.com.

და 2018 წლის შუა რიცხვებში ჯგუფმა მიიღო დომენის სახელი g-analytics.com და დაიწყო სნაიფერის საქმიანობის შენიღბვა, როგორც ლეგიტიმური Google Analytics სერვისი.

ვერსიის ანალიზი

სნაიფერის კოდის შესანახად გამოყენებული დომენების ანალიზის დროს დადგინდა, რომ საიტი შეიცავს უამრავ ვერსიებს, რომლებიც განსხვავდებიან დაბინდვის არსებობით, აგრეთვე ფაილში დამატებული მიუწვდომელი კოდის არსებობით ან არარსებობით, ყურადღების გადატანის მიზნით. და დამალეთ მავნე კოდი.

სულ საიტზე jquery-js.com გამოვლინდა სნაიფერების ექვსი ვერსია. ეს სნაიფერები აგზავნიან მოპარულ მონაცემებს იმავე ვებსაიტზე მდებარე მისამართზე, სადაც თავად სნაიფერია: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

მოგვიანებით დომენი g-analytics.com, რომელსაც ჯგუფი იყენებს თავდასხმებში 2018 წლის შუა რიცხვებიდან, ემსახურება როგორც საცავი უფრო მეტი სნაიფერისთვის. სულ აღმოაჩინეს სნიფერის 16 განსხვავებული ვერსია. ამ შემთხვევაში, მოპარული მონაცემების გაგზავნის კარიბჭე იყო შენიღბული, როგორც სურათის ფორმატის ბმული GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

მოპარული მონაცემების მონეტიზაცია

კრიმინალური ჯგუფი მოპარული მონაცემების მონეტიზაციას ახორციელებს ბარათების გაყიდვით სპეციალურად შექმნილი მიწისქვეშა მაღაზიის მეშვეობით, რომელიც მომსახურებას უწევს კარდერებს. თავდამსხმელების მიერ გამოყენებული დომენების ანალიზმა ამის დადგენის საშუალება მოგვცა google-analytics.cm დარეგისტრირდა იმავე მომხმარებლის მიერ, როგორც დომენი cardz.vc. დომენი cardz.vc ეხება მაღაზიას, რომელიც ყიდის მოპარულ საბანკო ბარათებს Cardsurfs (Flysurfs), რომელმაც პოპულარობა მოიპოვა მიწისქვეშა სავაჭრო პლატფორმის AlphaBay-ის მოქმედების დღეებში, როგორც მაღაზია, რომელიც ყიდის საბანკო ბარათებს, რომელიც მოპარულია სნაიფერის გამოყენებით.

დომენის ანალიზი ანალიტიკური.არის, რომელიც მდებარეობს იმავე სერვერზე, სადაც სნაიფერის მიერ გამოყენებული დომენები მოპარული მონაცემების შესაგროვებლად, Group-IB-ის სპეციალისტებმა აღმოაჩინეს ფაილი, რომელიც შეიცავს ქუქიების მოპარვის ჟურნალებს, რომელიც, როგორც ჩანს, მოგვიანებით დეველოპერმა მიატოვა. ჟურნალის ერთ-ერთი ჩანაწერი შეიცავდა დომენს iozoz.com, რომელიც ადრე გამოიყენებოდა 2016 წელს მოქმედ ერთ-ერთ სნაიფერში. სავარაუდოდ, ეს დომენი ადრე გამოიყენებოდა თავდამსხმელის მიერ სნაიფერის გამოყენებით მოპარული ბარათების შესაგროვებლად. ეს დომენი დარეგისტრირდა ელექტრონული ფოსტის მისამართზე [ელ.ფოსტით დაცულია], რომელიც ასევე გამოიყენებოდა დომენების დასარეგისტრირებლად კარძ.სუ и cardz.vc, დაკავშირებულია კარდინგის მაღაზია Cardsurfs-თან.

მიღებული მონაცემებიდან გამომდინარე, შეიძლება ვივარაუდოთ, რომ G-Analytics-ის სნაიფერების ოჯახი და მიწისქვეშა მაღაზია, რომელიც ყიდის საბანკო ბარათებს Cardsurfs-ს მართავს ერთი და იგივე ადამიანები, ხოლო მაღაზია გამოიყენება სნაიფერის გამოყენებით მოპარული საბანკო ბარათების გასაყიდად.

ინფრასტრუქტურის

დომენის	აღმოჩენის/გამოჩენის თარიღი
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
ანალიტიკური.რომ	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
ანალიტიკური.არის	28.12.2018
googlc-analytics.cm	17.01.2019

ილუმის ოჯახი

Illum არის სნაიფერების ოჯახი, რომელიც გამოიყენება Magento CMS-ის მქონე ონლაინ მაღაზიებზე თავდასხმისთვის. მავნე კოდის შემოღების გარდა, ამ სნიფერის ოპერატორები ასევე იყენებენ ყალბი გადახდის სრულფასოვანი ფორმების დანერგვას, რომლებიც აგზავნიან მონაცემებს თავდამსხმელების მიერ კონტროლირებად კარიბჭეებში.

ამ სნაიფერის ოპერატორების მიერ გამოყენებული ქსელური ინფრასტრუქტურის გაანალიზებისას აღინიშნა დიდი რაოდენობით მავნე სკრიპტები, ექსპლოიტები, ყალბი გადახდის ფორმები, ასევე კონკურენტების მავნე სნაიფერების მაგალითების კოლექცია. ჯგუფის მიერ გამოყენებული დომენური სახელების გამოჩენის თარიღების შესახებ ინფორმაციაზე დაყრდნობით, შეიძლება ვივარაუდოთ, რომ კამპანია 2016 წლის ბოლოს დაიწყო.

როგორ არის დანერგილი ილუმი ​​ონლაინ მაღაზიის კოდში

აღმოჩენილი სნაიფერის პირველი ვერსიები პირდაპირ ჩაშენებული იყო კომპრომეტირებული საიტის კოდში. მოპარული მონაცემები გაეგზავნა cdn.illum[.]pw/records.php, კარიბჭე იყო კოდირებული გამოყენებით base64.

მოგვიანებით, აღმოაჩინეს სნაიფერის შეფუთული ვერსია, რომელიც იყენებს სხვა ჭიშკარს - ჩანაწერები.nstatistics[.]com/records.php.

მიხედვით მოხსენება Willem de Groot, იგივე მასპინძელი გამოიყენებოდა სნიფერში, რომელიც განხორციელდა მაღაზიის საიტიგერმანიის პოლიტიკური პარტია CSU-ს ეკუთვნის.

თავდამსხმელთა ვებგვერდის ანალიზი

Group-IB-ის სპეციალისტებმა აღმოაჩინეს და გააანალიზეს ვებგვერდი, რომელსაც ამ დანაშაულებრივი ჯგუფი იყენებდა ხელსაწყოების შესანახად და მოპარული ინფორმაციის შესაგროვებლად.

თავდამსხმელთა სერვერზე აღმოჩენილ ინსტრუმენტებს შორის იყო სკრიპტები და ექსპლოიტები Linux OS-ში პრივილეგიების გაზრდისთვის: მაგალითად, Linux Privilege Escalation Check Script შემუშავებული მაიკ ჩუმაკის მიერ, ასევე ექსპლოიტი CVE-2009-1185-ისთვის.

თავდამსხმელებმა გამოიყენეს ორი ექსპლოიტი პირდაპირ ონლაინ მაღაზიებზე თავდასხმისთვის: первый შეუძლია მავნე კოდის შეყვანა core_config_data CVE-2016-4010-ის ექსპლუატაციით, მეორე იყენებს RCE დაუცველობას CMS Magento-ს დანამატებში, რაც საშუალებას აძლევს თვითნებური კოდის შესრულებას დაუცველ ვებ სერვერზე.

ასევე, სერვერის ანალიზის დროს აღმოაჩინეს სნაიფერის სხვადასხვა ნიმუშები და ყალბი გადახდის ფორმები, რომლებსაც თავდამსხმელები იყენებდნენ გატეხილი საიტებიდან გადახდის ინფორმაციის შესაგროვებლად. როგორც ქვემოთ მოყვანილი სიიდან ხედავთ, ზოგიერთი სკრიპტი შეიქმნა ინდივიდუალურად თითოეული გატეხილი საიტისთვის, ხოლო უნივერსალური გადაწყვეტა გამოიყენებოდა გარკვეული CMS და გადახდის კარიბჭეებისთვის. მაგალითად, სკრიპტები segapay_standart.js и segapay_onpage.js შექმნილია Sage Pay გადახდის კარიბჭის გამოყენებით საიტებზე განსახორციელებლად.

სკრიპტების სია სხვადასხვა გადახდის კარიბჭეებისთვის

სკრიპტი	Გადახდის კარიბჭე
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolenghi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

მასპინძელი გადახდა ახლა[.]ტკ, გამოიყენება როგორც კარიბჭე სკრიპტში payment_forminsite.js, აღმოაჩინეს როგორც subjectAltName CloudFlare სერვისთან დაკავშირებულ რამდენიმე სერთიფიკატში. გარდა ამისა, მასპინძელი შეიცავდა სკრიპტს ბოროტი.js. თუ ვიმსჯელებთ სკრიპტის სახელწოდებით, ის შეიძლება გამოყენებულ იქნას CVE-2016-4010-ის ექსპლუატაციის ფარგლებში, რომლის წყალობითაც შესაძლებელია მავნე კოდის შეყვანა იმ საიტის ძირში, რომელიც მუშაობს CMS Magento. მასპინძელმა ეს სკრიპტი გამოიყენა როგორც კარიბჭე მოთხოვნა.requestnet[.]tkიგივე სერთიფიკატის გამოყენებით, როგორც მასპინძელი გადახდა ახლა[.]ტკ.

ყალბი გადახდის ფორმები

ქვემოთ მოყვანილი სურათი გვიჩვენებს ბარათის მონაცემების შეყვანის ფორმის მაგალითს. ეს ფორმა გამოიყენებოდა ონლაინ მაღაზიაში შეღწევისა და ბარათის მონაცემების მოსაპარად.

შემდეგი სურათი გვიჩვენებს ყალბი PayPal-ის გადახდის ფორმის მაგალითს, რომელიც გამოიყენებოდა თავდამსხმელების მიერ საიტებზე ამ გადახდის მეთოდით შესაღწევად.

ინფრასტრუქტურის

დომენის	აღმოჩენის/გამოჩენის თარიღი
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
მოთხოვნა.payrightnow.cf	25/05/2018
Paynow.tk	16/07/2017
გადახდის ხაზი.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

CoffeeMokko ოჯახი

CoffeMokko სნაიფერების ოჯახი, რომელიც შექმნილია ონლაინ მაღაზიის მომხმარებლების საბანკო ბარათების მოსაპარად, გამოიყენება სულ მცირე 2017 წლის მაისიდან. სავარაუდოდ, სნაიფერების ამ ოჯახის ოპერატორები არიან კრიმინალური ჯგუფი 1, რომელიც აღწერილია RiskIQ-ის სპეციალისტების მიერ 2016 წელს. თავდასხმა განხორციელდა ისეთ საიტებზე, რომლებიც მუშაობენ CMS-ებით, როგორიცაა Magento, OpenCart, WordPress, osCommerce და Shopify.

როგორ არის დანერგილი CoffeMokko ონლაინ მაღაზიის კოდში

ამ ოჯახის ოპერატორები ქმნიან უნიკალურ სნიფერებს თითოეული ინფექციისთვის: სნაიფერის ფაილი მდებარეობს დირექტორიაში. src ან js თავდამსხმელთა სერვერზე. საიტის კოდში ჩართვა ხდება სნაიფერთან პირდაპირი ბმულის საშუალებით.

სნაიფერის კოდი აფიქსირებს ფორმის ველების სახელებს, საიდანაც საჭიროა მონაცემების მოპარვა. სნაიფერი ასევე ამოწმებს არის თუ არა მომხმარებელი გადახდის გვერდზე საკვანძო სიტყვების სიის შემოწმებით მომხმარებლის მიმდინარე მისამართით.

სნაიფერის ზოგიერთი აღმოჩენილი ვერსია გაურკვეველი იყო და შეიცავდა დაშიფრულ სტრიქონს, რომელშიც ინახებოდა რესურსების ძირითადი მასივი: იგი შეიცავდა ფორმის ველების სახელებს სხვადასხვა გადახდის სისტემებისთვის, ასევე კარიბჭის მისამართს, რომელზეც უნდა გაეგზავნოს მოპარული მონაცემები.

მოპარული გადახდის ინფორმაცია გადაეგზავნა თავდამსხმელთა სერვერის სკრიპტს გზაზე /savePayment/index.php ან /tr/index.php. სავარაუდოდ, ეს სკრიპტი გამოიყენება კარიბჭიდან მონაცემების მთავარ სერვერზე გასაგზავნად, რომელიც აერთიანებს ყველა სნაიფერის მონაცემებს. გადაცემული მონაცემების დასამალად, მსხვერპლის გადახდის ყველა ინფორმაცია დაშიფრულია გამოყენებით base64და შემდეგ ხდება რამდენიმე სიმბოლოს ჩანაცვლება:

• "e" სიმბოლო შეიცვალა ":"-ით.
• "w" სიმბოლო შეიცვალა "+"-ით
• სიმბოლო "o" შეიცვალა "%"-ით
• სიმბოლო "d" შეიცვალა "#"-ით
• სიმბოლო "a" შეიცვალა "-"-ით
• სიმბოლო "7" შეიცვალა "^"-ით
• სიმბოლო "h" შეიცვალა "_"-ით
• "T" სიმბოლო შეიცვალა "@"-ით
• სიმბოლო "0" შეიცვალა "/"-ით
• "Y" სიმბოლო შეიცვალა "*"-ით

სიმბოლოების ჩანაცვლების შედეგად კოდირებულია გამოყენებით base64 მონაცემების დეკოდირება შეუძლებელია საპირისპირო კონვერტაციის განხორციელების გარეშე.

ასე გამოიყურება სნაიფერის კოდის ფრაგმენტი, რომელიც არ არის გაურკვეველი:

ინფრასტრუქტურის ანალიზი

ადრეულ კამპანიებში, თავდამსხმელებმა დაარეგისტრირეს დომენური სახელები ლეგიტიმური ონლაინ სავაჭრო საიტების მსგავსი. მათი დომენი შეიძლება განსხვავდებოდეს ლეგიტიმური ერთი სიმბოლოთი ან სხვა TLD-ისგან. რეგისტრირებული დომენები გამოიყენებოდა სნაიფერის კოდის შესანახად, რომლის ბმული ჩართული იყო მაღაზიის კოდში.

ამ ჯგუფმა ასევე გამოიყენა დომენის სახელები, რომლებიც მოგვაგონებს პოპულარულ jQuery დანამატებს (slickjs[.]org საიტებისთვის, რომლებიც იყენებენ დანამატს გლუვი.js), გადახდის კარიბჭეები (sagecdn[.]org საიტებისთვის, რომლებიც იყენებენ Sage Pay გადახდის სისტემას).

მოგვიანებით ჯგუფმა დაიწყო დომენების შექმნა, რომელთა სახელებს არანაირი კავშირი არ ჰქონდა მაღაზიის დომენთან ან მაღაზიის თემასთან.

თითოეული დომენი შეესაბამებოდა საიტს, რომელზეც შეიქმნა დირექტორია /js ან / src. Sniffer სკრიპტები ინახებოდა ამ დირექტორიაში: ერთი sniffer ყოველი ახალი ინფექციისთვის. სნაიფერი ჩართული იყო ვებსაიტის კოდში პირდაპირი ბმულის საშუალებით, მაგრამ იშვიათ შემთხვევებში თავდამსხმელებმა შეცვალეს ვებსაიტის ერთ-ერთი ფაილი და დაამატეს მავნე კოდი.

კოდის ანალიზი

პირველი დაბინდვის ალგორითმი

ამ ოჯახის სნაიფერების ზოგიერთ აღმოჩენილ ნიმუშში, კოდი იყო ბუნდოვანი და შეიცავდა დაშიფრულ მონაცემებს, რომლებიც საჭირო იყო სნაიფერის მუშაობისთვის: კერძოდ, სნაიფერის კარიბჭის მისამართი, გადახდის ფორმის ველების სია და ზოგიერთ შემთხვევაში, ყალბი კოდი. გადახდის ფორმა. ფუნქციის შიგნით კოდში, რესურსები დაშიფრულია გამოყენებით XOR გასაღებით, რომელიც გადაეცა იმავე ფუნქციის არგუმენტად.

სტრიქონის გაშიფვრით შესაბამისი გასაღებით, უნიკალური თითოეული ნიმუშისთვის, შეგიძლიათ მიიღოთ სტრიქონი, რომელიც შეიცავს ყველა სტრიქონს სნაიფერის კოდიდან, რომელიც გამოყოფილია გამყოფი სიმბოლოთი.

მეორე ბუნდოვანი ალგორითმი

ამ ოჯახის სნაიფერების შემდგომ ნიმუშებში გამოიყენებოდა სხვა დაბინდვის მექანიზმი: ამ შემთხვევაში მონაცემები დაშიფრული იყო თვითნაწერი ალგორითმის გამოყენებით. სტრიქონი, რომელიც შეიცავდა დაშიფრულ მონაცემებს, რომელიც აუცილებელია სნიფერის მუშაობისთვის, გადაეცა არგუმენტად გაშიფვრის ფუნქციას.

ბრაუზერის კონსოლის გამოყენებით შეგიძლიათ დაშიფრული მონაცემების გაშიფვრა და სნაიფერ რესურსების შემცველი მასივის მიღება.

კავშირი MageCart-ის ადრეულ შეტევებთან

ჯგუფის მიერ გამოყენებული ერთ-ერთი დომენის ანალიზის დროს, როგორც კარიბჭე მოპარული მონაცემების შესაგროვებლად, აღმოჩნდა, რომ ეს დომენი მასპინძლობს საკრედიტო ბარათების ქურდობის ინფრასტრუქტურას, იგივე, რაც გამოიყენა ჯგუფი 1, ერთ-ერთი პირველი ჯგუფი, აღმოაჩინა RiskIQ სპეციალისტების მიერ.

CoffeMokko სნაიფერების ოჯახის მასპინძელზე ორი ფაილი იქნა ნაპოვნი:

• mage.js — ფაილი, რომელიც შეიცავს 1 ჯგუფის სნაიფერ კოდს კარიბჭის მისამართით js-cdn.link
• mag.php — PHP სკრიპტი, რომელიც პასუხისმგებელია სნაიფერის მიერ მოპარული მონაცემების შეგროვებაზე

mage.js ფაილის შიგთავსი
ასევე დადგინდა, რომ ყველაზე ადრეული დომენები, რომლებიც გამოიყენებოდა ჯგუფის მიერ CoffeMokko სნაიფერების ოჯახის უკან, დარეგისტრირდა 17 წლის 2017 მაისს:

• ბმული-js[.]ბმული
• info-js[.]ბმული
• track-js[.]ბმული
• map-js[.]ბმული
• smart-js[.]ბმული

ამ დომენური სახელების ფორმატი ემთხვევა 1 ჯგუფის დომენურ სახელებს, რომლებიც გამოყენებული იყო 2016 წლის თავდასხმებში.

აღმოჩენილი ფაქტებიდან გამომდინარე, შეიძლება ვივარაუდოთ, რომ არსებობს კავშირი CoffeMokko snifers-ის ოპერატორებსა და დანაშაულებრივ ჯგუფ 1-ს შორის. სავარაუდოდ, CoffeMokko-ს ოპერატორებს შეეძლოთ აეღოთ ინსტრუმენტები და პროგრამული უზრუნველყოფა მათი წინამორბედებისგან ბარათების მოსაპარად. თუმცა, უფრო სავარაუდოა, რომ CoffeMokko სნიფერების ოჯახის გამოყენების უკან კრიმინალური ჯგუფი იგივე ხალხია, ვინც 1 ჯგუფის თავდასხმები განახორციელა. დანაშაულებრივი ჯგუფის საქმიანობის შესახებ პირველი ანგარიშის გამოქვეყნების შემდეგ, მათი ყველა დომენის სახელი იყო. დაიბლოკა და იარაღები დეტალურად იქნა შესწავლილი და აღწერილი. ჯგუფი იძულებული გახდა შესვენება, დახვეწა თავისი შიდა ინსტრუმენტები და გადაეწერა სნაიფერის კოდი, რათა გაეგრძელებინა თავდასხმები და დარჩენილიყო შეუმჩნეველი.

ინფრასტრუქტურის

დომენის	აღმოჩენის/გამოჩენის თარიღი
link-js.link	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
უსაფრთხოება-გადახდა.სუ	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
დობელი.სუ	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
პარკები.სუ	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
Energycoffe.org	31.01.2018
Energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
ლაბე.ბიზ	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
autorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

წყარო: www.habr.com