Четири JavaScript трагачи кои ве чекаат во онлајн продавниците

Речиси сите ги користиме услугите на онлајн продавниците, што значи дека порано или подоцна ризикуваме да станеме жртва на трагачи на JavaScript - специјален код што напаѓачите го имплементираат на веб-локација за да украдат податоци од банкарска картичка, адреси, најавувања и лозинки на корисниците .

Речиси 400 корисници на веб-страницата и мобилната апликација на British Airways веќе се погодени од трагачи, како и посетителите на британската веб-страница на спортскиот гигант FILA и американскиот дистрибутер на билети Ticketmaster. PayPal, Chase Paymenttech, USAePay, Moneris - овие и многу други платежни системи беа заразени.

Аналитичарот на Threat Intelligence Group-IB, Виктор Окороков, зборува за тоа како трагачите се инфилтрираат во кодот на веб-страницата и крадат информации за плаќање, како и кои CRM-и ги напаѓаат.

„Скриена закана“

Се случило долго време кодошите на JS да останат надвор од видното поле на антивирусни аналитичари, а банките и платните системи не ги гледале како сериозна закана. И сосема залудно. Група-IB експерти анализирани 2440 заразени онлајн продавници, чии посетители - вкупно околу 1,5 милиони луѓе дневно - беа изложени на ризик од компромис. Меѓу жртвите има не само корисници, туку и онлајн продавници, платежни системи и банки кои издавале компромитирани картички.

Извештај Group-IB стана првата студија за пазарот на даркнет за трагачи, нивната инфраструктура и методи на монетизација, што на нивните креатори им носи милиони долари. Идентификувавме 38 семејства на трагачи, од кои само 12 им беа претходно познати на истражувачите.

Дозволете ни да се задржиме во детали на четирите семејства на трагачи проучувани во текот на студијата.

ReactGet Family

Sniffers од семејството ReactGet се користат за кражба на податоци од банкарски картички на сајтовите за онлајн шопинг. Трагачот може да работи со голем број различни системи за плаќање што се користат на страницата: една вредност на параметар одговара на еден систем за плаќање, а поединечните откриени верзии на трагачот може да се користат за кражба на ингеренциите, како и за кражба на податоци од банкарска картичка од плаќање форми на неколку платежни системи одеднаш, како таканаречениот универзален трагач. Утврдено е дека во некои случаи, напаѓачите вршат фишинг напади врз администраторите на онлајн продавницата за да добијат пристап до административниот панел на страницата.

Кампањата со користење на оваа фамилија на трагачи започна во мај 2017 година; беа нападнати сајтови кои работат на CMS и Magento, Bigcommerce и Shopify платформи.

Како ReactGet се имплементира во кодот на онлајн продавницата

Покрај „класичната“ имплементација на скрипта преку врска, операторите на семејството трагачи ReactGet користат специјална техника: користејќи JavaScript код, проверуваат дали моменталната адреса каде што се наоѓа корисникот исполнува одредени критериуми. Злонамерниот код ќе се изврши само ако поднизата е присутна во тековната URL адреса исходот или наплата во еден чекор, една страница/, надвор/onepag, наплата/еден, акаут/еден. Така, кодот за трагач ќе се изврши токму во моментот кога корисникот ќе продолжи да плаќа за набавки и ќе ги внесе информациите за плаќање во формуларот на страницата.

Овој трагач користи нестандардна техника. Плаќањето и личните податоци на жртвата се собираат заедно и се кодираат со користење основа64, а потоа добиената низа се користи како параметар за испраќање барање до веб-страницата на напаѓачите. Најчесто, патеката до портата имитира датотека JavaScript, на пример одговор.js, податоци.js и така натаму, но се користат и врски до датотеки со слики, GIF и JPG. Особеноста е што трагачот создава објект на слика со димензии 1 на 1 пиксел и ја користи претходно добиената врска како параметар src Слики. Односно, за корисникот таквото барање во сообраќајот ќе изгледа како барање за редовна слика. Слична техника беше користена во семејството на трагачи ImageID. Дополнително, техниката на слика од 1 на 1 пиксели се користи во многу легитимни онлајн аналитички скрипти, што исто така може да го доведе во заблуда корисникот.

Анализа на верзијата

Анализата на активните домени што ги користат операторите за трагачи на ReactGet откри многу различни верзии на оваа фамилија на трагачи. Верзиите се разликуваат во присуство или отсуство на замаглување, а покрај тоа, секој трагач е дизајниран за специфичен платен систем кој обработува плаќања со банкарска картичка за онлајн продавници. Откако ја подредиле вредноста на параметарот што одговара на бројот на верзијата, специјалистите на Group-IB добија целосен список на достапни варијации на трагачи и според имињата на полињата за формулари што секој трагач ги бара во кодот на страницата, ги идентификуваа платните системи. кон што е насочен кодошот.

Список на трагачи и нивните соодветни платежни системи

УРЛ на трагачи	Систем на плаќање
reactjsapi.com/react.js	Авторизирај.Нет
ajaxstatic.com/api.js?v=2.1.1	Зачувај карти
ajaxstatic.com/api.js?v=2.1.2	Авторизирај.Нет
ajaxstatic.com/api.js?v=2.1.3	Авторизирај.Нет
ajaxstatic.com/api.js?v=2.1.4	eWAY Rapid
ajaxstatic.com/api.js?v=2.1.5	Авторизирај.Нет
ajaxstatic.com/api.js?v=2.1.6	Адиен
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	Авторизирај.Нет
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	Авторизирај.Нет
apitstatus.com/api.js?v=2.1.3	Монерис
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	PayPal
apitstatus.com/api.js?v=2.1.7	Sage Плати
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	PayPal
apitstatus.com/api.js?v=2.3.0	Лента
apitstatus.com/api.js?v=3.0.2	Realex
apitstatus.com/api.js?v=3.0.3	PayPal
apitstatus.com/api.js?v=3.0.4	ЛинкПоинт
apitstatus.com/api.js?v=3.0.5	PayPal
apitstatus.com/api.js?v=3.0.7	PayPal
apitstatus.com/api.js?v=3.0.8	DataCash
apitstatus.com/api.js?v=3.0.9	PayPal
asianfoodgracer.com/footer.js	Авторизирај.Нет
billgetstatus.com/api.js?v=1.2	Авторизирај.Нет
billgetstatus.com/api.js?v=1.3	Авторизирај.Нет
billgetstatus.com/api.js?v=1.4	Авторизирај.Нет
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	Авторизирај.Нет
billgetstatus.com/api.js?v=1.7	Монерис
billgetstatus.com/api.js?v=1.8	Sage Плати
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	Авторизирај.Нет
cloudodesc.com/gtm.js?v=1.2	Авторизирај.Нет
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	Авторизирај.Нет
cloudodesc.com/gtm.js?v=2.4	Монерис
cloudodesc.com/gtm.js?v=2.6	Sage Плати
cloudodesc.com/gtm.js?v=2.7	Sage Плати
cloudodesc.com/gtm.js?v=2.8	Бркај Paymentech
cloudodesc.com/gtm.js?v=2.9	Авторизирај.Нет
cloudodesc.com/gtm.js?v=2.91	Адиен
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	Сајбер-извор
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	Realex
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	Авторизирај.Нет
gtmproc.com/gtm.js?v=1.2	Авторизирај.Нет
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	PayPal
gtmproc.com/gtm.js?v=1.6	PayPal
gtmproc.com/gtm.js?v=1.7	Realex
livecheckpay.com/api.js?v=2.0	Sage Плати
livecheckpay.com/api.js?v=2.1	PayPal
livecheckpay.com/api.js?v=2.2	Verisign
livecheckpay.com/api.js?v=2.3	Авторизирај.Нет
livecheckpay.com/api.js?v=2.4	Verisign
livecheckpay.com/react.js	Авторизирај.Нет
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	PayPal
livegetpay.com/pay.js?v=2.1.5	Сајбер-извор
livegetpay.com/pay.js?v=2.1.7	Авторизирај.Нет
livegetpay.com/pay.js?v=2.1.8	Sage Плати
livegetpay.com/pay.js?v=2.1.9	Realex
livegetpay.com/pay.js?v=2.2.0	Сајбер-извор
livegetpay.com/pay.js?v=2.2.1	PayPal
livegetpay.com/pay.js?v=2.2.2	PayPal
livegetpay.com/pay.js?v=2.2.3	PayPal
livegetpay.com/pay.js?v=2.2.4	Verisign
livegetpay.com/pay.js?v=2.2.5	eWAY Rapid
livegetpay.com/pay.js?v=2.2.7	Sage Плати
livegetpay.com/pay.js?v=2.2.8	Sage Плати
livegetpay.com/pay.js?v=2.2.9	Verisign
livegetpay.com/pay.js?v=2.3.0	Авторизирај.Нет
livegetpay.com/pay.js?v=2.3.1	Авторизирај.Нет
livegetpay.com/pay.js?v=2.3.2	Првиот глобален портал на податоци
livegetpay.com/pay.js?v=2.3.3	Авторизирај.Нет
livegetpay.com/pay.js?v=2.3.4	Авторизирај.Нет
livegetpay.com/pay.js?v=2.3.5	Монерис
livegetpay.com/pay.js?v=2.3.6	Авторизирај.Нет
livegetpay.com/pay.js?v=2.3.8	PayPal
livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	Авторизирај.Нет
mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	PayPal
mxcounter.com/c.js?v=1.3	Авторизирај.Нет
mxcounter.com/c.js?v=1.4	Лента
mxcounter.com/c.js?v=1.6	Авторизирај.Нет
mxcounter.com/c.js?v=1.7	eWAY Rapid
mxcounter.com/c.js?v=1.8	Sage Плати
mxcounter.com/c.js?v=2.0	Авторизирај.Нет
mxcounter.com/c.js?v=2.1	Бринтри
mxcounter.com/c.js?v=2.10	Бринтри
mxcounter.com/c.js?v=2.2	PayPal
mxcounter.com/c.js?v=2.3	Sage Плати
mxcounter.com/c.js?v=2.31	Sage Плати
mxcounter.com/c.js?v=2.32	Авторизирај.Нет
mxcounter.com/c.js?v=2.33	PayPal
mxcounter.com/c.js?v=2.34	Авторизирај.Нет
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	PayPal
mxcounter.com/click.js?v=1.3	Авторизирај.Нет
mxcounter.com/click.js?v=1.4	Лента
mxcounter.com/click.js?v=1.6	Авторизирај.Нет
mxcounter.com/click.js?v=1.7	eWAY Rapid
mxcounter.com/click.js?v=1.8	Sage Плати
mxcounter.com/click.js?v=2.0	Авторизирај.Нет
mxcounter.com/click.js?v=2.1	Бринтри
mxcounter.com/click.js?v=2.2	PayPal
mxcounter.com/click.js?v=2.3	Sage Плати
mxcounter.com/click.js?v=2.31	Sage Плати
mxcounter.com/click.js?v=2.32	Авторизирај.Нет
mxcounter.com/click.js?v=2.33	PayPal
mxcounter.com/click.js?v=2.34	Авторизирај.Нет
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	Авторизирај.Нет
mxcounter.com/j.js	Авторизирај.Нет
newrelicnet.com/api.js?v=1.2	Авторизирај.Нет
newrelicnet.com/api.js?v=1.4	Авторизирај.Нет
newrelicnet.com/api.js?v=1.8	Sage Плати
newrelicnet.com/api.js?v=4.5	Sage Плати
newrelicnet.com/api.js?v=4.6	Westpac PayWay
nr-public.com/api.js?v=2.0	PayFort
nr-public.com/api.js?v=2.1	PayPal
nr-public.com/api.js?v=2.2	Авторизирај.Нет
nr-public.com/api.js?v=2.3	Лента
nr-public.com/api.js?v=2.4	Првиот глобален портал на податоци
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Авторизирај.Нет
nr-public.com/api.js?v=2.7	Авторизирај.Нет
nr-public.com/api.js?v=2.8	Монерис
nr-public.com/api.js?v=2.9	Авторизирај.Нет
nr-public.com/api.js?v=3.1	Sage Плати
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	Монерис
nr-public.com/api.js?v=3.5	PayPal
nr-public.com/api.js?v=3.6	ЛинкПоинт
nr-public.com/api.js?v=3.7	Westpac PayWay
nr-public.com/api.js?v=3.8	Авторизирај.Нет
nr-public.com/api.js?v=4.0	Монерис
nr-public.com/api.js?v=4.0.2	PayPal
nr-public.com/api.js?v=4.0.3	Адиен
nr-public.com/api.js?v=4.0.4	PayPal
nr-public.com/api.js?v=4.0.5	Авторизирај.Нет
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	Авторизирај.Нет
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.12	PayPal
ordercheckpays.com/api.js?v=2.13	Монерис
ordercheckpays.com/api.js?v=2.14	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.15	PayPal
ordercheckpays.com/api.js?v=2.16	PayPal
ordercheckpays.com/api.js?v=2.17	Westpac PayWay
ordercheckpays.com/api.js?v=2.18	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.19	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.21	Sage Плати
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.24	PayPal
ordercheckpays.com/api.js?v=2.25	PayFort
ordercheckpays.com/api.js?v=2.29	Сајбер-извор
ordercheckpays.com/api.js?v=2.4	PayPal Payflow Pro
ordercheckpays.com/api.js?v=2.7	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.8	Авторизирај.Нет
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	Авторизирај.Нет
ordercheckpays.com/api.js?v=3.2	Авторизирај.Нет
ordercheckpays.com/api.js?v=3.3	Sage Плати
ordercheckpays.com/api.js?v=3.4	Авторизирај.Нет
ordercheckpays.com/api.js?v=3.5	Лента
ordercheckpays.com/api.js?v=3.6	Авторизирај.Нет
ordercheckpays.com/api.js?v=3.7	Авторизирај.Нет
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	PayPal
ordercheckpays.com/api.js?v=4.0	Авторизирај.Нет
ordercheckpays.com/api.js?v=4.1	Авторизирај.Нет
ordercheckpays.com/api.js?v=4.2	Sage Плати
ordercheckpays.com/api.js?v=4.3	Авторизирај.Нет
reactjsapi.com/api.js?v=0.1.0	Авторизирај.Нет
reactjsapi.com/api.js?v=0.1.1	PayPal
reactjsapi.com/api.js?v=4.1.2	Кремен
reactjsapi.com/api.js?v=4.1.4	PayPal
reactjsapi.com/api.js?v=4.1.5	Sage Плати
reactjsapi.com/api.js?v=4.1.51	Verisign
reactjsapi.com/api.js?v=4.1.6	Авторизирај.Нет
reactjsapi.com/api.js?v=4.1.7	Авторизирај.Нет
reactjsapi.com/api.js?v=4.1.8	Лента
reactjsapi.com/api.js?v=4.1.9	Дебелата зебра
reactjsapi.com/api.js?v=4.2.0	Sage Плати
reactjsapi.com/api.js?v=4.2.1	Авторизирај.Нет
reactjsapi.com/api.js?v=4.2.2	Првиот глобален портал на податоци
reactjsapi.com/api.js?v=4.2.3	Авторизирај.Нет
reactjsapi.com/api.js?v=4.2.4	eWAY Rapid
reactjsapi.com/api.js?v=4.2.5	Адиен
reactjsapi.com/api.js?v=4.2.7	PayPal
reactjsapi.com/api.js?v=4.2.8	Брзи книги трговски услуги
reactjsapi.com/api.js?v=4.2.9	Verisign
reactjsapi.com/api.js?v=4.2.91	Sage Плати
reactjsapi.com/api.js?v=4.2.92	Verisign
reactjsapi.com/api.js?v=4.2.94	Авторизирај.Нет
reactjsapi.com/api.js?v=4.3.97	Авторизирај.Нет
reactjsapi.com/api.js?v=4.5	Sage Плати
reactjsapi.com/react.js	Авторизирај.Нет
sydneysalonsupplies.com/gtm.js	eWAY Rapid
tagsmediaget.com/react.js	Авторизирај.Нет
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	PayPal
tagstracking.com/tag.js?v=2.1.5	Сајбер-извор
tagstracking.com/tag.js?v=2.1.7	Авторизирај.Нет
tagstracking.com/tag.js?v=2.1.8	Sage Плати
tagstracking.com/tag.js?v=2.1.9	Realex
tagstracking.com/tag.js?v=2.2.0	Сајбер-извор
tagstracking.com/tag.js?v=2.2.1	PayPal
tagstracking.com/tag.js?v=2.2.2	PayPal
tagstracking.com/tag.js?v=2.2.3	PayPal
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	eWAY Rapid
tagstracking.com/tag.js?v=2.2.7	Sage Плати
tagstracking.com/tag.js?v=2.2.8	Sage Плати
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	Авторизирај.Нет
tagstracking.com/tag.js?v=2.3.1	Авторизирај.Нет
tagstracking.com/tag.js?v=2.3.2	Првиот глобален портал на податоци
tagstracking.com/tag.js?v=2.3.3	Авторизирај.Нет
tagstracking.com/tag.js?v=2.3.4	Авторизирај.Нет
tagstracking.com/tag.js?v=2.3.5	Монерис
tagstracking.com/tag.js?v=2.3.6	Авторизирај.Нет
tagstracking.com/tag.js?v=2.3.8	PayPal

Трагач на лозинки

Една од предностите на JavaScript трагачите кои работат на клиентската страна на веб-локацијата е нивната разноврсност: злонамерниот код вграден на веб-локација може да украде секаков вид на податоци, било да се тоа податоци за плаќање или најавување и лозинка на корисничка сметка. Специјалистите на Group-IB открија примерок од трагач кој припаѓа на семејството ReactGet, дизајниран да краде е-пошта и лозинки на корисниците на страницата.

Пресек со трагач на ImageID

За време на анализата на една од заразените продавници, беше откриено дека нејзината страница е заразена двапати: покрај злонамерниот код на семејниот трагач ReactGet, откриен е и кодот на семејниот трагач ImageID. Ова преклопување може да биде доказ дека операторите зад двата трагачи користат слични техники за да внесат злонамерен код.

Универзален трагач

Анализата на едно од имињата на домени поврзани со инфраструктурата за трагачи на ReactGet откри дека истиот корисник регистрирал три други имиња на домени. Овие три домени ги имитираа домените на веб-страниците од реалниот живот и претходно беа користени за хостирање на трагачи. При анализа на кодот на три легитимни локации, откриен е непознат трагач, а понатамошната анализа покажа дека станува збор за подобрена верзија на трагачот ReactGet. Сите претходно следени верзии на ова семејство на трагачи беа насочени кон единствен систем на плаќање, односно секој платен систем бараше посебна верзија на трагачот. Меѓутоа, во овој случај, откриена е универзална верзија на трагачот што е способна да краде информации од формулари поврзани со 15 различни платежни системи и модули на сајтови за е-трговија за плаќање преку Интернет.

Така, на почетокот на работата, трагачот бараше основни полиња за формулари што ги содржат личните информации на жртвата: полно име, физичка адреса, телефонски број.

Трагачот потоа пребарувал преку 15 различни префикси што одговараат на различни платежни системи и модули за онлајн плаќање.

Следно, личните податоци на жртвата и информациите за плаќање беа собрани заедно и испратени до локација контролирана од напаѓачот: во овој конкретен случај, откриени се две верзии на универзалниот трагач ReactGet, лоцирани на две различни хакирани сајтови. Сепак, двете верзии испратија украдени податоци на истиот хакиран сајт zoobashop.com.

Анализата на префиксите што трагачот ги користел за пребарување на полиња што ги содржат информациите за плаќање на жртвата ни овозможи да утврдиме дека овој примерок на трагач бил наменет за следните платни системи:

• Авторизирај.Нет
• Verisign
• Први податоци
• USAePay
• Лента
• PayPal
• ANZ eGate
• Бринтри
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• Системи за плаќање Heartland

Кои алатки се користат за кражба на информации за плаќање?

Првата алатка, откриена за време на анализата на инфраструктурата на напаѓачите, се користи за прикривање на малициозни скрипти одговорни за кражба на банкарски картички. На еден од домаќините на напаѓачот е откриена баш скрипта која користи CLI на проектот javascript-obfuscator за автоматизирање на замаглувањето на трагачкиот код.

Втората откриена алатка е дизајнирана да генерира код одговорен за вчитување на главниот трагач. Оваа алатка генерира JavaScript код кој проверува дали корисникот е на страницата за плаќање со пребарување на жици на тековната адреса на корисникот исходот, количка и така натаму, и ако резултатот е позитивен, тогаш кодот го вчитува главниот трагач од серверот на напаѓачите. За да се скрие злонамерната активност, сите линии, вклучително и тест линии за одредување на страницата за плаќање, како и врска до трагачот, се кодирани со користење основа64.

Фишинг напади

Анализата на мрежната инфраструктура на напаѓачите откри дека криминалната група често користи фишинг за да добие пристап до административниот панел на целната онлајн продавница. Напаѓачите регистрираат домен кој е визуелно сличен на доменот на продавницата, а потоа распоредуваат лажен формулар за најавување на административниот панел Magento на него. Доколку успеат, напаѓачите ќе добијат пристап до административниот панел на Magento CMS, што им дава можност да ги уредуваат компонентите на веб-страницата и да имплементираат трагач за да ги украдат податоците од кредитната картичка.

Инфраструктура

Име на домен	Датум на откривање/појавување
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

Семејство G-Analytics

Ова семејство на трагачи се користи за кражба на клиент картички од онлајн продавници. Првото име на домен што го користеше групата беше регистрирано во април 2016 година, што може да укаже дека групата започнала со активност во средината на 2016 година.

Во тековната кампања, групата користи имиња на домени кои имитираат услуги од реалниот живот, како што се Google Analytics и jQuery, прикривајќи ја активноста на трагачите со легитимни скрипти и имиња на домени слични на легитимните. Беа нападнати страниците што го користат Magento CMS.

Како G-Analytics се имплементира во кодот на онлајн продавницата

Посебна карактеристика на ова семејство е употребата на различни методи за кражба на информации за плаќање на корисниците. Покрај класичното вбризгување на JavaScript код во клиентската страна на страницата, криминалната група користела и техники за вбризгување код во серверската страна на страницата, имено PHP скрипти кои обработуваат податоци внесени од корисникот. Оваа техника е опасна бидејќи им отежнува на истражувачите од трети страни да откријат злонамерен код. Специјалисти на Group-IB открија верзија на трагачот вградена во PHP кодот на страницата, користејќи домен како порта dittm.org.

Откриена е и рана верзија на трагач кој го користи истиот домен за собирање украдени податоци dittm.org, но оваа верзија е наменета за инсталација на клиентската страна на онлајн продавницата.

Групата подоцна ја промени својата тактика и почна повеќе да се фокусира на криење на злонамерна активност и камуфлажа.

На почетокот на 2017 година, групата почна да го користи доменот jquery-js.com, маскиран како CDN за jQuery: кога оди на страницата на напаѓачите, корисникот се пренасочува на легитимна локација jquery.com.

И во средината на 2018 година, групата го усвои името на доменот g-analytics.com и почна да ги прикрива активностите на трагачот како легитимна услуга на Google Analytics.

Анализа на верзијата

За време на анализата на домените што се користат за складирање на кодот за трагачи, беше откриено дека страницата содржи голем број верзии, кои се разликуваат по присуството на заматување, како и присуството или отсуството на недостижен код додаден во датотеката за да се одвлече вниманието. и скриј малициозен код.

Вкупно на страницата jquery-js.com Идентификувани се шест верзии на трагачи. Овие трагачи ги испраќаат украдените податоци на адреса лоцирана на истата веб-страница како и самиот трагач: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

Подоцна домен g-analytics.com, користена од групата во напади од средината на 2018 година, служи како складиште за повеќе трагачи. Вкупно беа откриени 16 различни верзии на трагачот. Во овој случај, портата за испраќање украдени податоци беше маскирана како врска до формат на слика GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

Монетизација на украдени податоци

Криминалната група ги монетизира украдените податоци со продажба на картички преку специјално креирана подземна продавница која дава услуги на кардерите. Анализата на домените што ги користеа напаѓачите ни овозможи да го утврдиме тоа google-analytics.cm беше регистриран од истиот корисник како доменот cardz.vc. Домен cardz.vc се однесува на продавница која продава украдени банкарски картички Cardsurfs (Flysurfs), која се здоби со популарност уште во деновите на активноста на платформата за подземно тргување AlphaBay како продавница која продава банкарски картички украдени со помош на трагач.

Анализирање на доменот аналитички.е, лоциран на истиот сервер како домените што ги користат трагачите за собирање украдени податоци, специјалистите на Group-IB открија датотека што содржи дневници за крадење колачиња, кои се чини дека подоцна биле напуштени од развивачот. Еден од записите во дневникот содржеше домен iozoz.com, кој претходно беше користен во еден од кодошите активни во 2016 година. Веројатно, овој домен претходно бил користен од напаѓач за собирање картички украдени со помош на трагач. Овој домен е регистриран на е-пошта [заштитена по е-пошта], кој се користеше и за регистрација на домени картз.су и cardz.vc, поврзано со продавницата за кардинг Cardsurfs.

Врз основа на добиените податоци, може да се претпостави дека семејството на трагачи G-Analytics и подземната продавница што продава банкарски картички Cardsurfs се управувани од истите луѓе, а продавницата се користи за продажба на банкарски картички украдени со помош на трагачот.

Инфраструктура

Име на домен	Датум на откривање/појавување
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
аналитички.да	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
аналитички.е	28.12.2018
googlc-analytics.cm	17.01.2019

Семејството Илум

Illum е семејство на трагачи кои се користат за напад на онлајн продавници што работат на Magento CMS. Покрај воведувањето злонамерен код, операторите на овој трагач користат и воведување на полноправни лажни обрасци за плаќање кои испраќаат податоци до портите контролирани од напаѓачите.

При анализа на мрежната инфраструктура што ја користат операторите на овој трагач, забележани се голем број на малициозни скрипти, експлоатирања, лажни обрасци за плаќање, како и збирка примери со малициозни трагачи од конкурентите. Врз основа на информациите за датумите на појавување на имињата на домени што ги користи групата, може да се претпостави дека кампањата започна на крајот на 2016 година.

Како Illum се имплементира во кодот на онлајн продавницата

Првите верзии на откриениот трагач беа вградени директно во кодот на компромитирана локација. Украдените податоци се испратени до cdn.illum[.]pw/records.php, портата беше кодирана со користење основа64.

Подоцна, беше откриена спакувана верзија на трагачот што користи различна порта - записи.nstatistics[.]com/records.php.

Според извештај Вилем де Грот, истиот домаќин беше користен во трагачот, кој беше имплементиран на веб-страница на продавницата, сопственост на германската политичка партија ЦСУ.

Анализа на веб-страницата на напаѓачите

Специјалистите на Group-IB открија и анализираа веб-страница што ја користи оваа криминална група за складирање алатки и собирање украдени информации.

Меѓу алатките пронајдени на серверот на напаѓачите беа скрипти и експлоатации за зголемување на привилегиите во Линукс оперативниот систем: на пример, скриптата за проверка на ескалација на привилегии на Linux развиена од Мајк Чумак, како и експлоат за CVE-2009-1185.

Напаѓачите користеле два експлоатира директно за да ги нападнат онлајн продавниците: первый способен за инјектирање на малициозен код во core_config_data со искористување на CVE-2016-4010, вториот ја експлоатира RCE ранливоста во приклучоците за CMS Magento, овозможувајќи произволен код да се изврши на ранлив веб-сервер.

Исто така, при анализата на серверот, откриени се различни примероци на трагачи и лажни обрасци за плаќање, кои напаѓачите ги користеле за собирање информации за плаќање од хакирани сајтови. Како што можете да видите од списокот подолу, некои скрипти беа креирани поединечно за секој хакиран сајт, додека универзално решение беше користено за одредени CMS и портали за плаќање. На пример, скрипти segapay_standart.js и segapay_onpage.js дизајниран за имплементација на сајтови со користење на порталот за плаќање Sage Pay.

Список на скрипти за различни портали за плаќање

Скрипта	Порта за плаќање
с.р.илум[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/ottolenghi.co.uk.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
с.р.илум[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
с.р.илум[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
с.р.илум[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
с.р.илум[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
с.р.илум[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

Домаќин плаќање сега[.]tk, се користи како порта во скрипта payment_forminsite.js, беше откриен како предметИмето во неколку сертификати поврзани со услугата CloudFlare. Покрај тоа, водителот содржеше скрипта злото.js. Судејќи според името на скриптата, тој би можел да се користи како дел од експлоатацијата на CVE-2016-4010, благодарение на што е можно да се инјектира злонамерен код во подножјето на страницата што работи CMS Magento. Домаќинот го користеше ова сценарио како порта барање.requestnet[.]tkкористејќи го истиот сертификат како домаќинот плаќање сега[.]tk.

Лажни обрасци за плаќање

Сликата подолу покажува пример на формулар за внесување податоци од картичката. Оваа форма се користеше за инфилтрирање во онлајн продавница и кражба на податоци од картичката.

Следната слика покажува пример на лажен формулар за плаќање PayPal што го користеле напаѓачите за да се инфилтрираат на сајтови со овој начин на плаќање.

Инфраструктура

Име на домен	Датум на откривање/појавување
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
барање.payrightnow.cf	25/05/2018
плаќање сега.tk	16/07/2017
плаќање-линија.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

CoffeeMokko семејство

Семејството на трагачи CoffeMokko, дизајнирано да краде банкарски картички од корисниците на онлајн продавниците, е во употреба најмалку од мај 2017 година. Веројатно, оператори на ова семејство на кодоши се криминалната група Група 1, опишана од специјалистите на RiskIQ во 2016 година. Беа нападнати страници со CMS како што се Magento, OpenCart, WordPress, osCommerce и Shopify.

Како CoffeMokko се имплементира во кодот на онлајн продавницата

Операторите од ова семејство создаваат уникатни трагачи за секоја инфекција: датотеката трагач се наоѓа во директориумот src или js на серверот на напаѓачите. Вклучувањето во кодот на страницата се врши преку директна врска до трагачот.

Кодот за трагач ги шифрира имињата на полињата за формулари од кои треба да се украдат податоците. Трагачот, исто така, проверува дали корисникот е на страницата за плаќање со проверка на списокот со клучни зборови со моменталната адреса на корисникот.

Некои откриени верзии на трагачот беа замаглени и содржеа шифрирана низа во која беше зачувана главната низа на ресурси: ги содржеше имињата на полињата за формулари за различни платежни системи, како и адресата на портата на која треба да се испратат украдените податоци.

Украдените информации за плаќање беа испратени до скрипта на серверот на напаѓачите на патот /savePayment/index.php или /tr/index.php. Веројатно, оваа скрипта се користи за испраќање податоци од портата до главниот сервер, кој ги консолидира податоците од сите трагачи. За да се сокријат пренесените податоци, сите информации за плаќање на жртвата се шифрираат со користење основа64, а потоа се случуваат неколку замени на знаци:

• знакот „е“ се заменува со „:“
• симболот „w“ се заменува со „+“
• знакот „o“ се заменува со „%“
• знакот „d“ се заменува со „#“
• знакот „а“ се заменува со „-“
• симболот „7“ се заменува со „^“
• знакот „h“ се заменува со „_“
• симболот „Т“ се заменува со „@“
• знакот „0“ се заменува со „/“
• знакот „Y“ се заменува со „*“

Како резултат на замена на знаци кодирани со користење основа64 Податоците не можат да се декодираат без да се изврши обратна конверзија.

Вака изгледа фрагмент од трагачки код кој не е заматен:

Анализа на инфраструктурата

Во раните кампањи, напаѓачите регистрираа имиња на домени слични на оние на легитимните сајтови за онлајн шопинг. Нивниот домен може да се разликува од легитимниот еден по еден симбол или друг TLD. Регистрираните домени се користеа за складирање на код за трагач, врска до која беше вградена во кодот на продавницата.

Оваа група исто така користеше имиња на домени кои потсетуваат на популарните приклучоци за jQuery (slickjs[.]org за сајтови кои го користат приклучокот масна.js), портали за плаќање (sagecdn[.]org за сајтови кои го користат системот за плаќање Sage Pay).

Подоцна, групата почна да создава домени чии имиња немаа никаква врска со доменот на продавницата или темата на продавницата.

Секој домен одговараше на локација на која е креиран директориумот /js или / src. Скриптите Sniffer беа зачувани во овој директориум: еден трагач за секоја нова инфекција. Трагачот бил вграден во кодот на веб-страницата преку директна врска, но во ретки случаи, напаѓачите модифицирале една од датотеките на веб-страницата и додале злонамерен код на неа.

Анализа на кодови

Првиот алгоритам за замаглување

Во некои откриени примероци на трагачи од ова семејство, кодот беше заматен и содржеше шифрирани податоци неопходни за работа на трагачот: особено, адресата на портата трагач, список со полиња за формулари за плаќање и во некои случаи, кодот на лажен формулар за плаќање. Во кодот внатре во функцијата, ресурсите беа шифрирани со користење XOR од клучот што беше пренесен како аргумент на истата функција.

Со дешифрирање на стрингот со соодветниот клуч, единствен за секој примерок, можете да добиете низа што ги содржи сите низи од шифрата за трагачи одделени со знак за разграничување.

Втор алгоритам за замаглување

Во подоцнежните примероци на трагачи од ова семејство, се користеше различен механизам за замаглување: во овој случај, податоците беа шифрирани со помош на само-напишан алгоритам. Низа што содржи шифрирани податоци неопходни за работа на трагачот беше предадена како аргумент на функцијата за дешифрирање.

Користејќи ја конзолата на прелистувачот, можете да ги дешифрирате шифрираните податоци и да добиете низа што содржи ресурси за трагачи.

Поврзување со раните напади на MageCart

За време на анализата на еден од домените што ги користи групата како порта за собирање украдени податоци, беше откриено дека овој домен хостирал инфраструктура за кражба на кредитни картички, идентична со онаа што ја користела Група 1, една од првите групи, откриени од специјалисти RiskIQ.

Пронајдени се две досиеја кај домаќинот на семејството кодоши CoffeMokko:

• волшебник.js — датотека што содржи шифри од групата 1 со адреса на портата js-cdn.врска
• маг.php — PHP скрипта одговорна за собирање податоци украдени од трагачот

Содржина на датотеката mage.js
Исто така, беше утврдено дека најраните домени користени од групата зад семејството на кодоши CoffeMokko биле регистрирани на 17 мај 2017 година:

• линк-js[.]врска
• info-js[.]врска
• track-js[.]врска
• map-js[.]врска
• smart-js[.]врска

Форматот на овие имиња на домени се совпаѓа со имињата на домени од Групата 1 што беа користени во нападите во 2016 година.

Врз основа на откриените факти може да се претпостави дека постои поврзаност меѓу операторите на кодошите на CoffeMokko и криминалната група Група 1. Веројатно, операторите на CoffeMokko можеле да позајмат алатки и софтвер од нивните претходници за да крадат картички. Сепак, поверојатно е дека криминалната група која стои зад употребата на семејството на трагачи CoffeMokko се истите лица кои ги извршија нападите на Група 1. По објавувањето на првиот извештај за активностите на криминалната група, сите нивни имиња на домени беа блокирани и алатите беа детално проучени и опишани. Групата беше принудена да направи пауза, да ги усоврши своите внатрешни алатки и да го преработи кодот за трагачи за да продолжи со нападите и да остане неоткриен.

Инфраструктура

Име на домен	Датум на откривање/појавување
линк-js.врска	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.врска	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
обезбедување-плаќање.су	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
батерија-сила.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
паркови.су	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
кафете.org	31.01.2018
Energycoffe.org	31.01.2018
Energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
пилиња.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
autorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

Извор: www.habr.com