ഓൺലൈൻ സ്റ്റോറുകളിൽ നിങ്ങൾക്കായി കാത്തിരിക്കുന്ന നാല് JavaScript സ്നിഫറുകൾ

നമ്മളെല്ലാവരും ഓൺലൈൻ സ്റ്റോറുകളുടെ സേവനങ്ങൾ ഉപയോഗിക്കുന്നു, അതിനർത്ഥം താമസിയാതെ അല്ലെങ്കിൽ പിന്നീട് ഞങ്ങൾ JavaScript സ്നിഫർമാരുടെ ഇരയാകാനുള്ള സാധ്യതയുണ്ടെന്നാണ് - ബാങ്ക് കാർഡ് ഡാറ്റ, വിലാസങ്ങൾ, ലോഗിനുകൾ, ഉപയോക്താക്കളുടെ പാസ്‌വേഡുകൾ എന്നിവ മോഷ്ടിക്കാൻ ആക്രമണകാരികൾ ഒരു വെബ്‌സൈറ്റിൽ നടപ്പിലാക്കുന്ന പ്രത്യേക കോഡ്. .

ബ്രിട്ടീഷ് എയർവേയ്‌സ് വെബ്‌സൈറ്റിന്റെയും മൊബൈൽ ആപ്ലിക്കേഷന്റെയും ഏകദേശം 400 ഉപയോക്താക്കളും സ്‌പോർട്‌സ് ഭീമനായ ഫിലയുടെയും അമേരിക്കൻ ടിക്കറ്റ് വിതരണക്കാരനായ ടിക്കറ്റ് മാസ്റ്ററിന്റെയും ബ്രിട്ടീഷ് വെബ്‌സൈറ്റിലേക്കുള്ള സന്ദർശകരെയും ഇതിനകം സ്‌നിഫർമാർ ബാധിച്ചിട്ടുണ്ട്. PayPal, Chase Paymenttech, USAePay, Moneris - ഇവയും മറ്റ് നിരവധി പേയ്‌മെന്റ് സംവിധാനങ്ങളും ബാധിച്ചു.

സ്‌നിഫർമാർ വെബ്‌സൈറ്റ് കോഡിലേക്ക് നുഴഞ്ഞുകയറുകയും പേയ്‌മെന്റ് വിവരങ്ങൾ മോഷ്‌ടിക്കുകയും ചെയ്യുന്നതിനെക്കുറിച്ചും അവർ ആക്രമിക്കുന്ന സിആർഎമ്മുകളെക്കുറിച്ചും ത്രെറ്റ് ഇന്റലിജൻസ് ഗ്രൂപ്പ്-ഐബി അനലിസ്റ്റ് വിക്ടർ ഒകോറോക്കോവ് സംസാരിക്കുന്നു.

"മറഞ്ഞിരിക്കുന്ന ഭീഷണി"

വളരെക്കാലമായി ജെഎസ് സ്നിഫർമാർ ആന്റി-വൈറസ് അനലിസ്റ്റുകളുടെ കണ്ണിൽപ്പെടാതെ തുടർന്നു, ബാങ്കുകളും പേയ്‌മെന്റ് സംവിധാനങ്ങളും അവരെ ഗുരുതരമായ ഭീഷണിയായി കണ്ടില്ല. പൂർണ്ണമായും വ്യർത്ഥവും. ഗ്രൂപ്പ്-ഐബി വിദഗ്ധർ വിശകലനം ചെയ്തു 2440 രോഗബാധിതരായ ഓൺലൈൻ സ്റ്റോറുകൾ, അവരുടെ സന്ദർശകർ - പ്രതിദിനം ഏകദേശം 1,5 ദശലക്ഷം ആളുകൾ - വിട്ടുവീഴ്ചയ്ക്ക് സാധ്യതയുണ്ട്. ഇരകളിൽ ഉപയോക്താക്കൾ മാത്രമല്ല, ഓൺലൈൻ സ്റ്റോറുകൾ, പേയ്‌മെന്റ് സംവിധാനങ്ങൾ, കോംപ്രമൈസ്ഡ് കാർഡുകൾ നൽകിയ ബാങ്കുകൾ എന്നിവരും ഉൾപ്പെടുന്നു.

റിപ്പോർട്ട് ചെയ്യുക സ്നിഫർമാർക്കായുള്ള ഡാർക്ക്നെറ്റ് മാർക്കറ്റ്, അവയുടെ അടിസ്ഥാന സൗകര്യങ്ങൾ, ധനസമ്പാദന രീതികൾ എന്നിവയെക്കുറിച്ചുള്ള ആദ്യത്തെ പഠനമായി ഗ്രൂപ്പ്-ഐബി മാറി, ഇത് അവരുടെ സ്രഷ്‌ടാക്കൾക്ക് ദശലക്ഷക്കണക്കിന് ഡോളർ നൽകുന്നു. സ്‌നിഫർമാരുടെ 38 കുടുംബങ്ങളെ ഞങ്ങൾ തിരിച്ചറിഞ്ഞു, അതിൽ 12 എണ്ണം മാത്രമേ മുമ്പ് ഗവേഷകർക്ക് അറിയാമായിരുന്നുള്ളൂ.

പഠനസമയത്ത് പഠിച്ച സ്നിഫർമാരുടെ നാല് കുടുംബങ്ങളെക്കുറിച്ച് വിശദമായി നമുക്ക് താമസിക്കാം.

ReactGet ഫാമിലി

ഓൺലൈൻ ഷോപ്പിംഗ് സൈറ്റുകളിൽ ബാങ്ക് കാർഡ് ഡാറ്റ മോഷ്ടിക്കാൻ ReactGet കുടുംബത്തിലെ സ്നിഫർമാർ ഉപയോഗിക്കുന്നു. സൈറ്റിൽ ഉപയോഗിക്കുന്ന നിരവധി വ്യത്യസ്ത പേയ്‌മെന്റ് സിസ്റ്റങ്ങളിൽ സ്നിഫറിന് പ്രവർത്തിക്കാൻ കഴിയും: ഒരു പാരാമീറ്റർ മൂല്യം ഒരു പേയ്‌മെന്റ് സിസ്റ്റവുമായി പൊരുത്തപ്പെടുന്നു, കൂടാതെ സ്നിഫറിന്റെ വ്യക്തിഗത കണ്ടെത്തിയ പതിപ്പുകൾ ക്രെഡൻഷ്യലുകൾ മോഷ്ടിക്കുന്നതിനും പേയ്‌മെന്റിൽ നിന്ന് ബാങ്ക് കാർഡ് ഡാറ്റ മോഷ്ടിക്കുന്നതിനും ഉപയോഗിക്കാം. സാർവത്രിക സ്നിഫർ എന്ന് വിളിക്കപ്പെടുന്നതുപോലെ ഒരേസമയം നിരവധി പേയ്‌മെന്റ് സിസ്റ്റങ്ങളുടെ രൂപങ്ങൾ. സൈറ്റിന്റെ അഡ്‌മിനിസ്‌ട്രേറ്റീവ് പാനലിലേക്ക് ആക്‌സസ് നേടുന്നതിനായി ചില സന്ദർഭങ്ങളിൽ, ആക്രമണകാരികൾ ഓൺലൈൻ സ്‌റ്റോർ അഡ്മിനിസ്‌ട്രേറ്റർമാരിൽ ഫിഷിംഗ് ആക്രമണം നടത്തുന്നതായി കണ്ടെത്തി.

സ്‌നിഫർമാരുടെ ഈ കുടുംബത്തെ ഉപയോഗിച്ചുള്ള ഒരു കാമ്പെയ്‌ൻ 2017 മെയ് മാസത്തിൽ ആരംഭിച്ചു; CMS, Magento, Bigcommerce, Shopify പ്ലാറ്റ്‌ഫോമുകൾ പ്രവർത്തിക്കുന്ന സൈറ്റുകൾ ആക്രമിക്കപ്പെട്ടു.

ഒരു ഓൺലൈൻ സ്റ്റോറിന്റെ കോഡിലേക്ക് ReactGet എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത്

ഒരു ലിങ്ക് വഴി ഒരു സ്ക്രിപ്റ്റ് "ക്ലാസിക്" നടപ്പിലാക്കുന്നതിനു പുറമേ, സ്നിഫർമാരുടെ ReactGet കുടുംബത്തിന്റെ ഓപ്പറേറ്റർമാർ ഒരു പ്രത്യേക സാങ്കേതികത ഉപയോഗിക്കുന്നു: JavaScript കോഡ് ഉപയോഗിച്ച്, ഉപയോക്താവ് സ്ഥിതിചെയ്യുന്ന നിലവിലെ വിലാസം ചില മാനദണ്ഡങ്ങൾ പാലിക്കുന്നുണ്ടോ എന്ന് അവർ പരിശോധിക്കുന്നു. നിലവിലെ URL-ൽ സബ്‌സ്‌ട്രിംഗ് ഉണ്ടെങ്കിൽ മാത്രമേ ക്ഷുദ്ര കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യൂ ചെക്ക് ഔട്ട് അഥവാ ഒരു ഘട്ടം ചെക്ക്ഔട്ട്, ഒരു പേജ്/, ഔട്ട്/വൺപാഗ്, ചെക്ക്ഔട്ട്/ഒന്ന്, ckout/ഒന്ന്. അതിനാൽ, ഉപയോക്താവ് വാങ്ങലുകൾക്കായി പണം നൽകുകയും സൈറ്റിലെ ഫോമിൽ പേയ്‌മെന്റ് വിവരങ്ങൾ നൽകുകയും ചെയ്യുന്ന നിമിഷത്തിൽ സ്നിഫർ കോഡ് കൃത്യമായി നടപ്പിലാക്കും.

ഈ സ്നിഫർ ഒരു നിലവാരമില്ലാത്ത സാങ്കേതികത ഉപയോഗിക്കുന്നു. ഇരയുടെ പേയ്‌മെന്റും വ്യക്തിഗത വിവരങ്ങളും ഒരുമിച്ച് ശേഖരിക്കുകയും ഉപയോഗിച്ച് എൻകോഡ് ചെയ്യുകയും ചെയ്യുന്നു ബേസ് 64, തുടർന്ന് ഫലമായുണ്ടാകുന്ന സ്ട്രിംഗ് ആക്രമണകാരികളുടെ വെബ്‌സൈറ്റിലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുന്നതിനുള്ള ഒരു പാരാമീറ്ററായി ഉപയോഗിക്കുന്നു. മിക്കപ്പോഴും, ഗേറ്റിലേക്കുള്ള പാത ഒരു JavaScript ഫയൽ അനുകരിക്കുന്നു, ഉദാഹരണത്തിന് resp.js, data.js തുടങ്ങിയവ, എന്നാൽ ഇമേജ് ഫയലുകളിലേക്കുള്ള ലിങ്കുകളും ഉപയോഗിക്കുന്നു, ജിഫ് и JPG. സ്നിഫർ 1 ബൈ 1 പിക്സൽ അളക്കുന്ന ഒരു ഇമേജ് ഒബ്ജക്റ്റ് സൃഷ്ടിക്കുകയും മുമ്പ് ലഭിച്ച ലിങ്ക് ഒരു പാരാമീറ്ററായി ഉപയോഗിക്കുകയും ചെയ്യുന്നു എന്നതാണ് പ്രത്യേകത. ഉറവിട ചിത്രങ്ങൾ. അതായത്, ഉപയോക്താവിന് ട്രാഫിക്കിലെ അത്തരമൊരു അഭ്യർത്ഥന ഒരു സാധാരണ ചിത്രത്തിനായുള്ള അഭ്യർത്ഥന പോലെ കാണപ്പെടും. സ്‌നിഫർമാരുടെ ഇമേജ് ഐഡി കുടുംബത്തിലും സമാനമായ ഒരു സാങ്കേതികത ഉപയോഗിച്ചു. കൂടാതെ, 1 ബൈ 1 പിക്സൽ ഇമേജ് ഉപയോഗിക്കുന്നതിനുള്ള സാങ്കേതികത പല നിയമാനുസൃത ഓൺലൈൻ അനലിറ്റിക്സ് സ്ക്രിപ്റ്റുകളിലും ഉപയോഗിക്കുന്നു, ഇത് ഉപയോക്താവിനെ തെറ്റിദ്ധരിപ്പിക്കുകയും ചെയ്യും.

പതിപ്പ് വിശകലനം

ReactGet സ്നിഫർ ഓപ്പറേറ്റർമാർ ഉപയോഗിക്കുന്ന സജീവ ഡൊമെയ്‌നുകളുടെ വിശകലനം ഈ സ്‌നിഫർ കുടുംബത്തിന്റെ വിവിധ പതിപ്പുകൾ വെളിപ്പെടുത്തി. അവ്യക്തതയുടെ സാന്നിധ്യത്തിലോ അഭാവത്തിലോ പതിപ്പുകൾ വ്യത്യാസപ്പെട്ടിരിക്കുന്നു, കൂടാതെ, ഓൺലൈൻ സ്റ്റോറുകൾക്കായി ബാങ്ക് കാർഡ് പേയ്‌മെന്റുകൾ പ്രോസസ്സ് ചെയ്യുന്ന ഒരു പ്രത്യേക പേയ്‌മെന്റ് സിസ്റ്റത്തിനായി ഓരോ സ്‌നിഫറും രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു. പതിപ്പ് നമ്പറുമായി ബന്ധപ്പെട്ട പാരാമീറ്ററിന്റെ മൂല്യം ഉപയോഗിച്ച് അടുക്കിയ ശേഷം, ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾക്ക് ലഭ്യമായ സ്നിഫർ വ്യതിയാനങ്ങളുടെ പൂർണ്ണമായ ലിസ്റ്റ് ലഭിച്ചു, കൂടാതെ പേജ് കോഡിൽ ഓരോ സ്നിഫറും തിരയുന്ന ഫോം ഫീൽഡുകളുടെ പേരുകൾ അനുസരിച്ച്, അവർ പേയ്മെന്റ് സംവിധാനങ്ങൾ തിരിച്ചറിഞ്ഞു. സ്നിഫർ ലക്ഷ്യമിടുന്നത്.

സ്‌നിഫർമാരുടെ പട്ടികയും അവയുടെ അനുബന്ധ പേയ്‌മെന്റ് സംവിധാനങ്ങളും

സ്നിഫർ URL	പേയ്‌മെന്റ് സംവിധാനം
reactjsapi.com/react.js	Authorize.Net
ajaxstatic.com/api.js?v=2.1.1	കാർഡ് സേവ്
ajaxstatic.com/api.js?v=2.1.2	Authorize.Net
ajaxstatic.com/api.js?v=2.1.3	Authorize.Net
ajaxstatic.com/api.js?v=2.1.4	eWAY റാപ്പിഡ്
ajaxstatic.com/api.js?v=2.1.5	Authorize.Net
ajaxstatic.com/api.js?v=2.1.6	അഡിയൻ
ajaxstatic.com/api.js?v=2.1.7	ഉസെപയ്
ajaxstatic.com/api.js?v=2.1.9	Authorize.Net
apitstatus.com/api.js?v=2.1.1	ഉസെപയ്
apitstatus.com/api.js?v=2.1.2	Authorize.Net
apitstatus.com/api.js?v=2.1.3	മൊനെരിസ്
apitstatus.com/api.js?v=2.1.5	ഉസെപയ്
apitstatus.com/api.js?v=2.1.6	പേപാൽ
apitstatus.com/api.js?v=2.1.7	മുനി പേ
apitstatus.com/api.js?v=2.1.8	വെരിസൈൻ
apitstatus.com/api.js?v=2.1.9	പേപാൽ
apitstatus.com/api.js?v=2.3.0	വര
apitstatus.com/api.js?v=3.0.2	റിയലെക്സ്
apitstatus.com/api.js?v=3.0.3	പേപാൽ
apitstatus.com/api.js?v=3.0.4	ലിങ്ക്പോയിന്റ്
apitstatus.com/api.js?v=3.0.5	പേപാൽ
apitstatus.com/api.js?v=3.0.7	പേപാൽ
apitstatus.com/api.js?v=3.0.8	ഡാറ്റ കാഷ്
apitstatus.com/api.js?v=3.0.9	പേപാൽ
asianfoodgracer.com/footer.js	Authorize.Net
billgetstatus.com/api.js?v=1.2	Authorize.Net
billgetstatus.com/api.js?v=1.3	Authorize.Net
billgetstatus.com/api.js?v=1.4	Authorize.Net
billgetstatus.com/api.js?v=1.5	വെരിസൈൻ
billgetstatus.com/api.js?v=1.6	Authorize.Net
billgetstatus.com/api.js?v=1.7	മൊനെരിസ്
billgetstatus.com/api.js?v=1.8	മുനി പേ
billgetstatus.com/api.js?v=2.0	ഉസെപയ്
billgetstatus.com/react.js	Authorize.Net
cloudodesc.com/gtm.js?v=1.2	Authorize.Net
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	Authorize.Net
cloudodesc.com/gtm.js?v=2.4	മൊനെരിസ്
cloudodesc.com/gtm.js?v=2.6	മുനി പേ
cloudodesc.com/gtm.js?v=2.7	മുനി പേ
cloudodesc.com/gtm.js?v=2.8	ചേസ് പേയ്‌മെന്റ്
cloudodesc.com/gtm.js?v=2.9	Authorize.Net
cloudodesc.com/gtm.js?v=2.91	അഡിയൻ
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	സൈബർ ഉറവിടം
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	റിയലെക്സ്
geisseie.com/gs.js	ഉസെപയ്
gtmproc.com/age.js	Authorize.Net
gtmproc.com/gtm.js?v=1.2	Authorize.Net
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	പേപാൽ
gtmproc.com/gtm.js?v=1.6	പേപാൽ
gtmproc.com/gtm.js?v=1.7	റിയലെക്സ്
livecheckpay.com/api.js?v=2.0	മുനി പേ
livecheckpay.com/api.js?v=2.1	പേപാൽ
livecheckpay.com/api.js?v=2.2	വെരിസൈൻ
livecheckpay.com/api.js?v=2.3	Authorize.Net
livecheckpay.com/api.js?v=2.4	വെരിസൈൻ
livecheckpay.com/react.js	Authorize.Net
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	പേപാൽ
livegetpay.com/pay.js?v=2.1.5	സൈബർ ഉറവിടം
livegetpay.com/pay.js?v=2.1.7	Authorize.Net
livegetpay.com/pay.js?v=2.1.8	മുനി പേ
livegetpay.com/pay.js?v=2.1.9	റിയലെക്സ്
livegetpay.com/pay.js?v=2.2.0	സൈബർ ഉറവിടം
livegetpay.com/pay.js?v=2.2.1	പേപാൽ
livegetpay.com/pay.js?v=2.2.2	പേപാൽ
livegetpay.com/pay.js?v=2.2.3	പേപാൽ
livegetpay.com/pay.js?v=2.2.4	വെരിസൈൻ
livegetpay.com/pay.js?v=2.2.5	eWAY റാപ്പിഡ്
livegetpay.com/pay.js?v=2.2.7	മുനി പേ
livegetpay.com/pay.js?v=2.2.8	മുനി പേ
livegetpay.com/pay.js?v=2.2.9	വെരിസൈൻ
livegetpay.com/pay.js?v=2.3.0	Authorize.Net
livegetpay.com/pay.js?v=2.3.1	Authorize.Net
livegetpay.com/pay.js?v=2.3.2	ആദ്യത്തെ ഡാറ്റ ഗ്ലോബൽ ഗേറ്റ്‌വേ
livegetpay.com/pay.js?v=2.3.3	Authorize.Net
livegetpay.com/pay.js?v=2.3.4	Authorize.Net
livegetpay.com/pay.js?v=2.3.5	മൊനെരിസ്
livegetpay.com/pay.js?v=2.3.6	Authorize.Net
livegetpay.com/pay.js?v=2.3.8	പേപാൽ
livegetpay.com/pay.js?v=2.4.0	വെരിസൈൻ
maxstatics.com/site.js	ഉസെപയ്
mediapack.info/track.js?d=funlove.com	ഉസെപയ്
mediapack.info/track.js?d=qbedding.com	Authorize.Net
mediapack.info/track.js?d=vseyewear.com	വെരിസൈൻ
mxcounter.com/c.js?v=1.2	പേപാൽ
mxcounter.com/c.js?v=1.3	Authorize.Net
mxcounter.com/c.js?v=1.4	വര
mxcounter.com/c.js?v=1.6	Authorize.Net
mxcounter.com/c.js?v=1.7	eWAY റാപ്പിഡ്
mxcounter.com/c.js?v=1.8	മുനി പേ
mxcounter.com/c.js?v=2.0	Authorize.Net
mxcounter.com/c.js?v=2.1	ബ്രേംട്രീ
mxcounter.com/c.js?v=2.10	ബ്രേംട്രീ
mxcounter.com/c.js?v=2.2	പേപാൽ
mxcounter.com/c.js?v=2.3	മുനി പേ
mxcounter.com/c.js?v=2.31	മുനി പേ
mxcounter.com/c.js?v=2.32	Authorize.Net
mxcounter.com/c.js?v=2.33	പേപാൽ
mxcounter.com/c.js?v=2.34	Authorize.Net
mxcounter.com/c.js?v=2.35	വെരിസൈൻ
mxcounter.com/click.js?v=1.2	പേപാൽ
mxcounter.com/click.js?v=1.3	Authorize.Net
mxcounter.com/click.js?v=1.4	വര
mxcounter.com/click.js?v=1.6	Authorize.Net
mxcounter.com/click.js?v=1.7	eWAY റാപ്പിഡ്
mxcounter.com/click.js?v=1.8	മുനി പേ
mxcounter.com/click.js?v=2.0	Authorize.Net
mxcounter.com/click.js?v=2.1	ബ്രേംട്രീ
mxcounter.com/click.js?v=2.2	പേപാൽ
mxcounter.com/click.js?v=2.3	മുനി പേ
mxcounter.com/click.js?v=2.31	മുനി പേ
mxcounter.com/click.js?v=2.32	Authorize.Net
mxcounter.com/click.js?v=2.33	പേപാൽ
mxcounter.com/click.js?v=2.34	Authorize.Net
mxcounter.com/click.js?v=2.35	വെരിസൈൻ
mxcounter.com/cnt.js	Authorize.Net
mxcounter.com/j.js	Authorize.Net
newrelicnet.com/api.js?v=1.2	Authorize.Net
newrelicnet.com/api.js?v=1.4	Authorize.Net
newrelicnet.com/api.js?v=1.8	മുനി പേ
newrelicnet.com/api.js?v=4.5	മുനി പേ
newrelicnet.com/api.js?v=4.6	വെസ്റ്റ്പാക് പേവേ
nr-public.com/api.js?v=2.0	പേഫോർട്ട്
nr-public.com/api.js?v=2.1	പേപാൽ
nr-public.com/api.js?v=2.2	Authorize.Net
nr-public.com/api.js?v=2.3	വര
nr-public.com/api.js?v=2.4	ആദ്യത്തെ ഡാറ്റ ഗ്ലോബൽ ഗേറ്റ്‌വേ
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Authorize.Net
nr-public.com/api.js?v=2.7	Authorize.Net
nr-public.com/api.js?v=2.8	മൊനെരിസ്
nr-public.com/api.js?v=2.9	Authorize.Net
nr-public.com/api.js?v=3.1	മുനി പേ
nr-public.com/api.js?v=3.2	വെരിസൈൻ
nr-public.com/api.js?v=3.3	മൊനെരിസ്
nr-public.com/api.js?v=3.5	പേപാൽ
nr-public.com/api.js?v=3.6	ലിങ്ക്പോയിന്റ്
nr-public.com/api.js?v=3.7	വെസ്റ്റ്പാക് പേവേ
nr-public.com/api.js?v=3.8	Authorize.Net
nr-public.com/api.js?v=4.0	മൊനെരിസ്
nr-public.com/api.js?v=4.0.2	പേപാൽ
nr-public.com/api.js?v=4.0.3	അഡിയൻ
nr-public.com/api.js?v=4.0.4	പേപാൽ
nr-public.com/api.js?v=4.0.5	Authorize.Net
nr-public.com/api.js?v=4.0.6	ഉസെപയ്
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	Authorize.Net
nr-public.com/api.js?v=4.0.9	വെരിസൈൻ
nr-public.com/api.js?v=4.1.2	വെരിസൈൻ
ordercheckpays.com/api.js?v=2.11	Authorize.Net
ordercheckpays.com/api.js?v=2.12	പേപാൽ
ordercheckpays.com/api.js?v=2.13	മൊനെരിസ്
ordercheckpays.com/api.js?v=2.14	Authorize.Net
ordercheckpays.com/api.js?v=2.15	പേപാൽ
ordercheckpays.com/api.js?v=2.16	പേപാൽ
ordercheckpays.com/api.js?v=2.17	വെസ്റ്റ്പാക് പേവേ
ordercheckpays.com/api.js?v=2.18	Authorize.Net
ordercheckpays.com/api.js?v=2.19	Authorize.Net
ordercheckpays.com/api.js?v=2.21	മുനി പേ
ordercheckpays.com/api.js?v=2.22	വെരിസൈൻ
ordercheckpays.com/api.js?v=2.23	Authorize.Net
ordercheckpays.com/api.js?v=2.24	പേപാൽ
ordercheckpays.com/api.js?v=2.25	പേഫോർട്ട്
ordercheckpays.com/api.js?v=2.29	സൈബർ ഉറവിടം
ordercheckpays.com/api.js?v=2.4	പേപാൽ പേഫ്ലോ പ്രോ
ordercheckpays.com/api.js?v=2.7	Authorize.Net
ordercheckpays.com/api.js?v=2.8	Authorize.Net
ordercheckpays.com/api.js?v=2.9	വെരിസൈൻ
ordercheckpays.com/api.js?v=3.1	Authorize.Net
ordercheckpays.com/api.js?v=3.2	Authorize.Net
ordercheckpays.com/api.js?v=3.3	മുനി പേ
ordercheckpays.com/api.js?v=3.4	Authorize.Net
ordercheckpays.com/api.js?v=3.5	വര
ordercheckpays.com/api.js?v=3.6	Authorize.Net
ordercheckpays.com/api.js?v=3.7	Authorize.Net
ordercheckpays.com/api.js?v=3.8	വെരിസൈൻ
ordercheckpays.com/api.js?v=3.9	പേപാൽ
ordercheckpays.com/api.js?v=4.0	Authorize.Net
ordercheckpays.com/api.js?v=4.1	Authorize.Net
ordercheckpays.com/api.js?v=4.2	മുനി പേ
ordercheckpays.com/api.js?v=4.3	Authorize.Net
reactjsapi.com/api.js?v=0.1.0	Authorize.Net
reactjsapi.com/api.js?v=0.1.1	പേപാൽ
reactjsapi.com/api.js?v=4.1.2	ഫ്ലിംട്
reactjsapi.com/api.js?v=4.1.4	പേപാൽ
reactjsapi.com/api.js?v=4.1.5	മുനി പേ
reactjsapi.com/api.js?v=4.1.51	വെരിസൈൻ
reactjsapi.com/api.js?v=4.1.6	Authorize.Net
reactjsapi.com/api.js?v=4.1.7	Authorize.Net
reactjsapi.com/api.js?v=4.1.8	വര
reactjsapi.com/api.js?v=4.1.9	തടിച്ച സീബ്ര
reactjsapi.com/api.js?v=4.2.0	മുനി പേ
reactjsapi.com/api.js?v=4.2.1	Authorize.Net
reactjsapi.com/api.js?v=4.2.2	ആദ്യത്തെ ഡാറ്റ ഗ്ലോബൽ ഗേറ്റ്‌വേ
reactjsapi.com/api.js?v=4.2.3	Authorize.Net
reactjsapi.com/api.js?v=4.2.4	eWAY റാപ്പിഡ്
reactjsapi.com/api.js?v=4.2.5	അഡിയൻ
reactjsapi.com/api.js?v=4.2.7	പേപാൽ
reactjsapi.com/api.js?v=4.2.8	ക്വിക്ക്ബുക്ക്സ് വ്യാപാര സേവനങ്ങൾ
reactjsapi.com/api.js?v=4.2.9	വെരിസൈൻ
reactjsapi.com/api.js?v=4.2.91	മുനി പേ
reactjsapi.com/api.js?v=4.2.92	വെരിസൈൻ
reactjsapi.com/api.js?v=4.2.94	Authorize.Net
reactjsapi.com/api.js?v=4.3.97	Authorize.Net
reactjsapi.com/api.js?v=4.5	മുനി പേ
reactjsapi.com/react.js	Authorize.Net
sydneysalonsupplies.com/gtm.js	eWAY റാപ്പിഡ്
tagsmediaget.com/react.js	Authorize.Net
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	പേപാൽ
tagstracking.com/tag.js?v=2.1.5	സൈബർ ഉറവിടം
tagstracking.com/tag.js?v=2.1.7	Authorize.Net
tagstracking.com/tag.js?v=2.1.8	മുനി പേ
tagstracking.com/tag.js?v=2.1.9	റിയലെക്സ്
tagstracking.com/tag.js?v=2.2.0	സൈബർ ഉറവിടം
tagstracking.com/tag.js?v=2.2.1	പേപാൽ
tagstracking.com/tag.js?v=2.2.2	പേപാൽ
tagstracking.com/tag.js?v=2.2.3	പേപാൽ
tagstracking.com/tag.js?v=2.2.4	വെരിസൈൻ
tagstracking.com/tag.js?v=2.2.5	eWAY റാപ്പിഡ്
tagstracking.com/tag.js?v=2.2.7	മുനി പേ
tagstracking.com/tag.js?v=2.2.8	മുനി പേ
tagstracking.com/tag.js?v=2.2.9	വെരിസൈൻ
tagstracking.com/tag.js?v=2.3.0	Authorize.Net
tagstracking.com/tag.js?v=2.3.1	Authorize.Net
tagstracking.com/tag.js?v=2.3.2	ആദ്യത്തെ ഡാറ്റ ഗ്ലോബൽ ഗേറ്റ്‌വേ
tagstracking.com/tag.js?v=2.3.3	Authorize.Net
tagstracking.com/tag.js?v=2.3.4	Authorize.Net
tagstracking.com/tag.js?v=2.3.5	മൊനെരിസ്
tagstracking.com/tag.js?v=2.3.6	Authorize.Net
tagstracking.com/tag.js?v=2.3.8	പേപാൽ

പാസ്‌വേഡ് സ്നിഫർ

ഒരു വെബ്‌സൈറ്റിന്റെ ക്ലയന്റ് ഭാഗത്ത് പ്രവർത്തിക്കുന്ന JavaScript സ്‌നിഫർമാരുടെ ഒരു ഗുണം അവയുടെ വൈദഗ്ധ്യമാണ്: ഒരു വെബ്‌സൈറ്റിൽ ഉൾച്ചേർത്തിരിക്കുന്ന ക്ഷുദ്ര കോഡിന് ഏത് തരത്തിലുള്ള ഡാറ്റയും മോഷ്‌ടിക്കാൻ കഴിയും, അത് പേയ്‌മെന്റ് ഡാറ്റയോ അല്ലെങ്കിൽ ഒരു ഉപയോക്തൃ അക്കൗണ്ടിന്റെ ലോഗിൻ, പാസ്‌വേഡ്. സൈറ്റ് ഉപയോക്താക്കളുടെ ഇമെയിൽ വിലാസങ്ങളും പാസ്‌വേഡുകളും മോഷ്‌ടിക്കാൻ രൂപകൽപ്പന ചെയ്‌ത ReactGet കുടുംബത്തിൽപ്പെട്ട ഒരു സ്‌നിഫറിന്റെ സാമ്പിൾ ഗ്രൂപ്പ്-IB വിദഗ്ധർ കണ്ടെത്തി.

ഇമേജ് ഐഡി സ്നിഫർ ഉള്ള കവല

രോഗബാധിതമായ ഒരു സ്റ്റോറിന്റെ വിശകലനത്തിൽ, അതിന്റെ വെബ്‌സൈറ്റിൽ രണ്ടുതവണ രോഗം ബാധിച്ചതായി കണ്ടെത്തി: ReactGet ഫാമിലി സ്‌നിഫറിന്റെ ക്ഷുദ്ര കോഡിന് പുറമേ, ഇമേജ് ഐഡി ഫാമിലി സ്‌നിഫറിന്റെ കോഡ് കണ്ടെത്തി. ഈ ഓവർലാപ്പ് രണ്ട് സ്‌നിഫറുകൾക്ക് പിന്നിലുള്ള ഓപ്പറേറ്റർമാർ ക്ഷുദ്ര കോഡ് കുത്തിവയ്ക്കാൻ സമാനമായ സാങ്കേതിക വിദ്യകൾ ഉപയോഗിക്കുന്നു എന്നതിന്റെ തെളിവായിരിക്കാം.

യൂണിവേഴ്സൽ സ്നിഫർ

ReactGet സ്നിഫർ ഇൻഫ്രാസ്ട്രക്ചറുമായി ബന്ധപ്പെട്ട ഒരു ഡൊമെയ്ൻ നാമത്തിന്റെ വിശകലനം, അതേ ഉപയോക്താവ് മറ്റ് മൂന്ന് ഡൊമെയ്ൻ നാമങ്ങൾ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ടെന്ന് കണ്ടെത്തി. ഈ മൂന്ന് ഡൊമെയ്‌നുകളും യഥാർത്ഥ വെബ്‌സൈറ്റുകളുടെ ഡൊമെയ്‌നുകൾ അനുകരിച്ചു, മുമ്പ് സ്‌നിഫർമാരെ ഹോസ്റ്റുചെയ്യാൻ ഉപയോഗിച്ചിരുന്നു. മൂന്ന് നിയമാനുസൃത സൈറ്റുകളുടെ കോഡ് വിശകലനം ചെയ്യുമ്പോൾ, ഒരു അജ്ഞാത സ്നിഫർ കണ്ടെത്തി, കൂടുതൽ വിശകലനം അത് ReactGet സ്നിഫറിന്റെ മെച്ചപ്പെട്ട പതിപ്പാണെന്ന് കാണിച്ചു. സ്‌നിഫർമാരുടെ ഈ കുടുംബത്തിന്റെ മുമ്പ് നിരീക്ഷിച്ച എല്ലാ പതിപ്പുകളും ഒരൊറ്റ പേയ്‌മെന്റ് സിസ്റ്റത്തെ ലക്ഷ്യം വച്ചുള്ളവയാണ്, അതായത്, ഓരോ പേയ്‌മെന്റ് സിസ്റ്റത്തിനും സ്നിഫറിന്റെ ഒരു പ്രത്യേക പതിപ്പ് ആവശ്യമാണ്. എന്നിരുന്നാലും, ഈ സാഹചര്യത്തിൽ, 15 വ്യത്യസ്ത പേയ്‌മെന്റ് സിസ്റ്റങ്ങളുമായി ബന്ധപ്പെട്ട ഫോമുകളിൽ നിന്നും ഓൺലൈൻ പേയ്‌മെന്റുകൾ നടത്തുന്നതിന് ഇ-കൊമേഴ്‌സ് സൈറ്റുകളുടെ മൊഡ്യൂളുകളിൽ നിന്നും വിവരങ്ങൾ മോഷ്‌ടിക്കാൻ കഴിവുള്ള സ്‌നിഫറിന്റെ ഒരു സാർവത്രിക പതിപ്പ് കണ്ടെത്തി.

അതിനാൽ, ജോലിയുടെ തുടക്കത്തിൽ, സ്നിഫർ ഇരയുടെ വ്യക്തിഗത വിവരങ്ങൾ അടങ്ങിയ അടിസ്ഥാന ഫോം ഫീൽഡുകൾക്കായി തിരഞ്ഞു: മുഴുവൻ പേര്, ഭൗതിക വിലാസം, ഫോൺ നമ്പർ.

സ്‌നിഫർ പിന്നീട് വ്യത്യസ്‌ത പേയ്‌മെന്റ് സിസ്റ്റങ്ങൾക്കും ഓൺലൈൻ പേയ്‌മെന്റ് മൊഡ്യൂളുകൾക്കും അനുയോജ്യമായ 15 വ്യത്യസ്ത പ്രിഫിക്‌സുകൾ തിരഞ്ഞു.

അടുത്തതായി, ഇരയുടെ സ്വകാര്യ ഡാറ്റയും പേയ്‌മെന്റ് വിവരങ്ങളും ഒരുമിച്ച് ശേഖരിക്കുകയും ആക്രമണകാരിയുടെ നിയന്ത്രണത്തിലുള്ള ഒരു സൈറ്റിലേക്ക് അയയ്ക്കുകയും ചെയ്തു: ഈ പ്രത്യേക സാഹചര്യത്തിൽ, ഹാക്ക് ചെയ്ത രണ്ട് വ്യത്യസ്ത സൈറ്റുകളിൽ സ്ഥിതി ചെയ്യുന്ന സാർവത്രിക ReactGet സ്നിഫറിന്റെ രണ്ട് പതിപ്പുകൾ കണ്ടെത്തി. എന്നിരുന്നാലും, രണ്ട് പതിപ്പുകളും ഒരേ ഹാക്ക് ചെയ്ത സൈറ്റിലേക്ക് മോഷ്ടിച്ച ഡാറ്റ അയച്ചു zoobashop.com.

ഇരയുടെ പേയ്‌മെന്റ് വിവരങ്ങൾ അടങ്ങിയ ഫീൽഡുകൾക്കായി തിരയാൻ സ്‌നിഫർ ഉപയോഗിച്ച പ്രിഫിക്‌സുകളുടെ വിശകലനം, ഈ സ്‌നിഫർ സാമ്പിൾ ഇനിപ്പറയുന്ന പേയ്‌മെന്റ് സിസ്റ്റങ്ങളെ ലക്ഷ്യം വച്ചുള്ളതാണെന്ന് നിർണ്ണയിക്കാൻ ഞങ്ങളെ അനുവദിച്ചു:

• Authorize.Net
• വെരിസൈൻ
• ആദ്യ ഡാറ്റ
• ഉസെപയ്
• വര
• പേപാൽ
• ANZ eGate
• ബ്രേംട്രീ
• DataCash (മാസ്റ്റർകാർഡ്)
• Realex പേയ്‌മെന്റുകൾ
• PsiGate
• ഹാർട്ട്ലാൻഡ് പേയ്മെന്റ് സിസ്റ്റംസ്

പേയ്‌മെന്റ് വിവരങ്ങൾ മോഷ്‌ടിക്കാൻ ഏതൊക്കെ ടൂളുകളാണ് ഉപയോഗിക്കുന്നത്?

ആക്രമണകാരികളുടെ ഇൻഫ്രാസ്ട്രക്ചർ വിശകലനം ചെയ്യുമ്പോൾ കണ്ടെത്തിയ ആദ്യത്തെ ഉപകരണം, ബാങ്ക് കാർഡുകളുടെ മോഷണത്തിന് ഉത്തരവാദികളായ ക്ഷുദ്ര സ്ക്രിപ്റ്റുകൾ അവ്യക്തമാക്കാൻ ഉപയോഗിക്കുന്നു. പ്രോജക്റ്റിന്റെ CLI ഉപയോഗിക്കുന്ന ഒരു ബാഷ് സ്‌ക്രിപ്റ്റ് ആക്രമണകാരിയുടെ ഹോസ്റ്റുകളിലൊന്നിൽ കണ്ടെത്തി javascript-obfuscator സ്നിഫർ കോഡിന്റെ അവ്യക്തത ഓട്ടോമേറ്റ് ചെയ്യാൻ.

കണ്ടെത്തിയ രണ്ടാമത്തെ ഉപകരണം, പ്രധാന സ്നിഫർ ലോഡുചെയ്യുന്നതിന് ഉത്തരവാദിയായ കോഡ് സൃഷ്ടിക്കുന്നതിനാണ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. സ്ട്രിംഗുകൾക്കായി ഉപയോക്താവിന്റെ നിലവിലെ വിലാസം തിരഞ്ഞുകൊണ്ട് ഉപയോക്താവ് പേയ്‌മെന്റ് പേജിലുണ്ടോ എന്ന് പരിശോധിക്കുന്ന JavaScript കോഡ് ഈ ടൂൾ സൃഷ്ടിക്കുന്നു. ചെക്ക് ഔട്ട്, കാർട്ട് കൂടാതെ, ഫലം പോസിറ്റീവ് ആണെങ്കിൽ, ആക്രമണകാരികളുടെ സെർവറിൽ നിന്ന് കോഡ് പ്രധാന സ്നിഫർ ലോഡ് ചെയ്യുന്നു. ക്ഷുദ്രകരമായ പ്രവർത്തനം മറയ്‌ക്കുന്നതിന്, പേയ്‌മെന്റ് പേജ് നിർണ്ണയിക്കുന്നതിനുള്ള ടെസ്റ്റ് ലൈനുകളും സ്‌നിഫറിലേക്കുള്ള ലിങ്കും ഉൾപ്പെടെ എല്ലാ ലൈനുകളും എൻകോഡ് ചെയ്‌തിരിക്കുന്നു ബേസ് 64.

ഫിഷിംഗ് ആക്രമണങ്ങൾ

ആക്രമണകാരികളുടെ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ വിശകലനം, ടാർഗെറ്റ് ഓൺലൈൻ സ്റ്റോറിന്റെ അഡ്മിനിസ്ട്രേറ്റീവ് പാനലിലേക്ക് ആക്‌സസ് നേടുന്നതിന് ക്രിമിനൽ ഗ്രൂപ്പ് പലപ്പോഴും ഫിഷിംഗ് ഉപയോഗിക്കുന്നുവെന്ന് കണ്ടെത്തി. ആക്രമണകാരികൾ ഒരു സ്റ്റോറിന്റെ ഡൊമെയ്‌നുമായി ദൃശ്യപരമായി സമാനമായ ഒരു ഡൊമെയ്‌ൻ രജിസ്റ്റർ ചെയ്യുന്നു, തുടർന്ന് അതിൽ ഒരു വ്യാജ Magento അഡ്മിനിസ്ട്രേഷൻ പാനൽ ലോഗിൻ ഫോം വിന്യസിക്കുന്നു. വിജയിക്കുകയാണെങ്കിൽ, ആക്രമണകാരികൾക്ക് Magento CMS-ന്റെ അഡ്മിനിസ്ട്രേറ്റീവ് പാനലിലേക്ക് ആക്‌സസ് ലഭിക്കും, ഇത് അവർക്ക് വെബ്‌സൈറ്റ് ഘടകങ്ങൾ എഡിറ്റ് ചെയ്യാനും ക്രെഡിറ്റ് കാർഡ് ഡാറ്റ മോഷ്ടിക്കുന്നതിനുള്ള ഒരു സ്‌നിഫർ നടപ്പിലാക്കാനും അവസരം നൽകുന്നു.

ഇൻഫ്രാസ്ട്രക്ചർ

ഡൊമെൻ	കണ്ടെത്തിയ തീയതി/ദൃശ്യം
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
Trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

ജി-അനലിറ്റിക്സ് കുടുംബം

ഓൺലൈൻ സ്റ്റോറുകളിൽ നിന്ന് ഉപഭോക്തൃ കാർഡുകൾ മോഷ്ടിക്കാൻ ഈ സ്നിഫർ കുടുംബം ഉപയോഗിക്കുന്നു. ഗ്രൂപ്പ് ഉപയോഗിച്ച ആദ്യത്തെ ഡൊമെയ്‌ൻ നാമം 2016 ഏപ്രിലിൽ രജിസ്റ്റർ ചെയ്‌തതാണ്, ഇത് ഗ്രൂപ്പ് 2016 മധ്യത്തിൽ പ്രവർത്തനം ആരംഭിച്ചതായി സൂചിപ്പിക്കാം.

നിലവിലെ കാമ്പെയ്‌നിൽ, Google Analytics, jQuery പോലുള്ള യഥാർത്ഥ ജീവിത സേവനങ്ങളെ അനുകരിക്കുന്ന ഡൊമെയ്‌ൻ നാമങ്ങൾ ഗ്രൂപ്പ് ഉപയോഗിക്കുന്നു, നിയമാനുസൃതമായ സ്‌ക്രിപ്‌റ്റുകളും ഡൊമെയ്‌ൻ നാമങ്ങളും ഉപയോഗിച്ച് സ്‌നിഫർമാരുടെ പ്രവർത്തനം മറയ്ക്കുന്നു. Magento CMS പ്രവർത്തിക്കുന്ന സൈറ്റുകൾ ആക്രമിക്കപ്പെട്ടു.

ഒരു ഓൺലൈൻ സ്റ്റോറിന്റെ കോഡിലേക്ക് G-Analytics എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത്

ഉപയോക്തൃ പേയ്‌മെന്റ് വിവരങ്ങൾ മോഷ്‌ടിക്കാൻ വിവിധ രീതികൾ ഉപയോഗിക്കുന്നതാണ് ഈ കുടുംബത്തിന്റെ ഒരു പ്രത്യേകത. സൈറ്റിന്റെ ക്ലയന്റ് വശത്തേക്ക് ജാവാസ്ക്രിപ്റ്റ് കോഡിന്റെ ക്ലാസിക് കുത്തിവയ്പ്പിന് പുറമേ, ക്രിമിനൽ ഗ്രൂപ്പ് സൈറ്റിന്റെ സെർവർ വശത്തേക്ക് കോഡ് ഇഞ്ചക്ഷൻ ടെക്നിക്കുകളും ഉപയോഗിച്ചു, അതായത് ഉപയോക്താവ് നൽകിയ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്ന PHP സ്ക്രിപ്റ്റുകൾ. ഈ സാങ്കേതികത അപകടകരമാണ്, കാരണം ഇത് മൂന്നാം കക്ഷി ഗവേഷകർക്ക് ക്ഷുദ്ര കോഡ് കണ്ടെത്തുന്നത് ബുദ്ധിമുട്ടാക്കുന്നു. ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ സൈറ്റിന്റെ പിഎച്ച്പി കോഡിൽ ഉൾച്ചേർത്ത ഒരു സ്നിഫറിന്റെ ഒരു പതിപ്പ് കണ്ടെത്തി, ഒരു ഡൊമെയ്ൻ ഗേറ്റായി ഉപയോഗിച്ചു dittm.org.

മോഷ്ടിച്ച ഡാറ്റ ശേഖരിക്കാൻ അതേ ഡൊമെയ്‌ൻ ഉപയോഗിക്കുന്ന ഒരു സ്‌നിഫറിന്റെ ആദ്യകാല പതിപ്പും കണ്ടെത്തി dittm.org, എന്നാൽ ഈ പതിപ്പ് ഒരു ഓൺലൈൻ സ്റ്റോറിന്റെ ക്ലയന്റ് ഭാഗത്ത് ഇൻസ്റ്റാളുചെയ്യാൻ ഉദ്ദേശിച്ചുള്ളതാണ്.

സംഘം പിന്നീട് തന്ത്രങ്ങൾ മാറ്റി, ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങളും മറവിയും മറയ്ക്കുന്നതിൽ കൂടുതൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കാൻ തുടങ്ങി.

2017 ന്റെ തുടക്കത്തിൽ, ഗ്രൂപ്പ് ഡൊമെയ്ൻ ഉപയോഗിക്കാൻ തുടങ്ങി jquery-js.com, jQuery-യുടെ CDN ആയി വേഷംമാറി: ആക്രമണകാരികളുടെ സൈറ്റിലേക്ക് പോകുമ്പോൾ, ഉപയോക്താവിനെ നിയമാനുസൃതമായ ഒരു സൈറ്റിലേക്ക് റീഡയറക്‌ടുചെയ്യുന്നു jquery.com.

2018 മധ്യത്തിൽ, ഗ്രൂപ്പ് ഡൊമെയ്ൻ നാമം സ്വീകരിച്ചു g-analytics.com നിയമാനുസൃതമായ Google Analytics സേവനമായി സ്നിഫറുടെ പ്രവർത്തനങ്ങൾ മറച്ചുവെക്കാൻ തുടങ്ങി.

പതിപ്പ് വിശകലനം

സ്നിഫർ കോഡ് സംഭരിക്കാൻ ഉപയോഗിക്കുന്ന ഡൊമെയ്‌നുകളുടെ വിശകലനത്തിൽ, സൈറ്റിൽ ധാരാളം പതിപ്പുകൾ അടങ്ങിയിരിക്കുന്നതായി കണ്ടെത്തി, അവ അവ്യക്തതയുടെ സാന്നിധ്യത്തിൽ വ്യത്യാസപ്പെട്ടിരിക്കുന്നു, അതുപോലെ തന്നെ ശ്രദ്ധ തിരിക്കുന്നതിനായി ഫയലിൽ ചേർത്തിട്ടില്ലാത്ത കോഡിന്റെ സാന്നിധ്യമോ അഭാവമോ ക്ഷുദ്ര കോഡ് മറയ്ക്കുക.

സൈറ്റിലെ ആകെ jquery-js.com സ്നിഫർമാരുടെ ആറ് പതിപ്പുകൾ തിരിച്ചറിഞ്ഞു. ഈ സ്‌നിഫർമാർ മോഷ്ടിച്ച ഡാറ്റ സ്‌നിഫറിന്റെ അതേ വെബ്‌സൈറ്റിൽ സ്ഥിതിചെയ്യുന്ന ഒരു വിലാസത്തിലേക്ക് അയയ്ക്കുന്നു: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

പിന്നീട് ഡൊമെയ്ൻ g-analytics.com, 2018 പകുതി മുതൽ ആക്രമണങ്ങളിൽ ഗ്രൂപ്പ് ഉപയോഗിച്ചു, കൂടുതൽ സ്നിഫർമാർക്കുള്ള ഒരു ശേഖരമായി പ്രവർത്തിക്കുന്നു. മൊത്തത്തിൽ, സ്നിഫറിന്റെ 16 വ്യത്യസ്ത പതിപ്പുകൾ കണ്ടെത്തി. ഈ സാഹചര്യത്തിൽ, മോഷ്ടിച്ച ഡാറ്റ അയയ്ക്കുന്നതിനുള്ള ഗേറ്റ് ഒരു ഇമേജ് ഫോർമാറ്റിലേക്കുള്ള ലിങ്കായി വേഷംമാറി ജിഫ്: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= ക്സനുമ്ക്സ:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

മോഷ്ടിച്ച ഡാറ്റയുടെ ധനസമ്പാദനം

കാർഡർമാർക്ക് സേവനങ്ങൾ നൽകുന്ന പ്രത്യേകമായി സൃഷ്ടിച്ച ഭൂഗർഭ സ്റ്റോറിലൂടെ കാർഡുകൾ വിറ്റ് ക്രിമിനൽ സംഘം മോഷ്ടിച്ച ഡാറ്റയിൽ നിന്ന് ധനസമ്പാദനം നടത്തുന്നു. ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന ഡൊമെയ്‌നുകളുടെ വിശകലനം അത് നിർണ്ണയിക്കാൻ ഞങ്ങളെ അനുവദിച്ചു google-analytics.cm ഡൊമെയ്‌നിന്റെ അതേ ഉപയോക്താവാണ് രജിസ്റ്റർ ചെയ്തത് cardz.vc. ഡൊമെയ്ൻ cardz.vc മോഷ്ടിച്ച ബാങ്ക് കാർഡുകൾ വിൽക്കുന്ന ഒരു സ്റ്റോറിനെ പരാമർശിക്കുന്നു Cardsurfs (Flysurfs), ഇത് ഭൂഗർഭ ട്രേഡിംഗ് പ്ലാറ്റ്‌ഫോമായ ആൽഫബേയുടെ പ്രവർത്തനത്തിന്റെ നാളുകളിൽ സ്നിഫർ ഉപയോഗിച്ച് മോഷ്ടിച്ച ബാങ്ക് കാർഡുകൾ വിൽക്കുന്ന ഒരു സ്റ്റോർ എന്ന നിലയിൽ ജനപ്രീതി നേടി.

ഡൊമെയ്ൻ വിശകലനം ചെയ്യുന്നു അനലിറ്റിക്കൽ.ആണ്, മോഷ്ടിച്ച ഡാറ്റ ശേഖരിക്കാൻ സ്നിഫർമാർ ഉപയോഗിക്കുന്ന ഡൊമെയ്‌നുകളുടെ അതേ സെർവറിൽ സ്ഥിതി ചെയ്യുന്ന ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ കുക്കി സ്റ്റേലർ ലോഗുകൾ അടങ്ങിയ ഒരു ഫയൽ കണ്ടെത്തി, അത് പിന്നീട് ഡെവലപ്പർ ഉപേക്ഷിച്ചതായി തോന്നുന്നു. ലോഗിലെ ഒരു എൻട്രിയിൽ ഒരു ഡൊമെയ്ൻ അടങ്ങിയിരിക്കുന്നു iozoz.com, ഇത് മുമ്പ് 2016-ൽ സജീവമായ സ്‌നിഫറുകളിലൊന്നിൽ ഉപയോഗിച്ചിരുന്നു. ഒരു സ്നിഫർ ഉപയോഗിച്ച് മോഷ്ടിച്ച കാർഡുകൾ ശേഖരിക്കാൻ ഈ ഡൊമെയ്ൻ മുമ്പ് ഒരു ആക്രമണകാരി ഉപയോഗിച്ചിരുന്നു. ഈ ഡൊമെയ്ൻ ഒരു ഇമെയിൽ വിലാസത്തിൽ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ട് [ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു], ഇത് ഡൊമെയ്‌നുകൾ രജിസ്റ്റർ ചെയ്യുന്നതിനും ഉപയോഗിച്ചു cardz.su и cardz.vc, കാർഡിംഗ് സ്റ്റോർ Cardsurfs മായി ബന്ധപ്പെട്ടിരിക്കുന്നു.

ലഭിച്ച ഡാറ്റയെ അടിസ്ഥാനമാക്കി, സ്നിഫർമാരുടെ ജി-അനലിറ്റിക്സ് കുടുംബവും ബാങ്ക് കാർഡുകൾ വിൽക്കുന്ന ഭൂഗർഭ സ്റ്റോറും ഒരേ ആളുകളാണ് കൈകാര്യം ചെയ്യുന്നതെന്ന് അനുമാനിക്കാം, കൂടാതെ സ്നിഫർ ഉപയോഗിച്ച് മോഷ്ടിച്ച ബാങ്ക് കാർഡുകൾ വിൽക്കാൻ സ്റ്റോർ ഉപയോഗിക്കുന്നു.

ഇൻഫ്രാസ്ട്രക്ചർ

ഡൊമെൻ	കണ്ടെത്തിയ തീയതി/ദൃശ്യം
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
അനലിറ്റിക്കൽ.ടു	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
അനലിറ്റിക്കൽ.ആണ്	28.12.2018
googlc-analytics.cm	17.01.2019

ഇല്ലം കുടുംബം

Magento CMS പ്രവർത്തിക്കുന്ന ഓൺലൈൻ സ്റ്റോറുകളെ ആക്രമിക്കാൻ ഉപയോഗിക്കുന്ന സ്‌നിഫർമാരുടെ കുടുംബമാണ് ഇല്ലം. ക്ഷുദ്ര കോഡ് അവതരിപ്പിക്കുന്നതിനു പുറമേ, ആക്രമണകാരികൾ നിയന്ത്രിക്കുന്ന ഗേറ്റുകളിലേക്ക് ഡാറ്റ അയയ്‌ക്കുന്ന പൂർണ്ണമായ വ്യാജ പേയ്‌മെന്റ് ഫോമുകളുടെ ആമുഖവും ഈ സ്‌നിഫറിന്റെ ഓപ്പറേറ്റർമാർ ഉപയോഗിക്കുന്നു.

ഈ സ്‌നിഫറിന്റെ ഓപ്പറേറ്റർമാർ ഉപയോഗിക്കുന്ന നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചർ വിശകലനം ചെയ്യുമ്പോൾ, ധാരാളം ക്ഷുദ്ര സ്‌ക്രിപ്റ്റുകൾ, ചൂഷണങ്ങൾ, വ്യാജ പേയ്‌മെന്റ് ഫോമുകൾ, അതുപോലെ തന്നെ എതിരാളികളിൽ നിന്നുള്ള ക്ഷുദ്രകരമായ സ്‌നിഫറുകൾ ഉള്ള ഉദാഹരണങ്ങളുടെ ശേഖരം എന്നിവ ശ്രദ്ധിക്കപ്പെട്ടു. ഗ്രൂപ്പ് ഉപയോഗിക്കുന്ന ഡൊമെയ്‌ൻ നാമങ്ങൾ പ്രത്യക്ഷപ്പെടുന്ന തീയതികളെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ അടിസ്ഥാനത്തിൽ, 2016 അവസാനത്തോടെ കാമ്പെയ്‌ൻ ആരംഭിച്ചതായി അനുമാനിക്കാം.

ഒരു ഓൺലൈൻ സ്റ്റോറിന്റെ കോഡിലേക്ക് ഇല്ലം എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത്

കണ്ടെത്തിയ സ്‌നിഫറിന്റെ ആദ്യ പതിപ്പുകൾ വിട്ടുവീഴ്‌ച ചെയ്‌ത സൈറ്റിന്റെ കോഡിലേക്ക് നേരിട്ട് ഉൾച്ചേർത്തു. മോഷ്ടിച്ച ഡാറ്റ അയച്ചു cdn.illum[.]pw/records.php, ഗേറ്റ് ഉപയോഗിച്ച് എൻകോഡ് ചെയ്തു ബേസ് 64.

പിന്നീട്, മറ്റൊരു ഗേറ്റ് ഉപയോഗിക്കുന്ന സ്നിഫറിന്റെ പാക്കേജുചെയ്ത പതിപ്പ് കണ്ടെത്തി - records.nstatistics[.]com/records.php.

പറയുന്നു റിപ്പോർട്ട് വില്ലെം ഡി ഗ്രൂട്ട്, അതേ ഹോസ്റ്റ് സ്നിഫറിൽ ഉപയോഗിച്ചു, അത് നടപ്പിലാക്കി സൈറ്റ് മാഗസിന, ജർമ്മൻ രാഷ്ട്രീയ പാർട്ടിയായ CSU യുടെ ഉടമസ്ഥതയിലുള്ളത്.

ആക്രമണകാരികളുടെ വെബ്‌സൈറ്റിന്റെ വിശകലനം

ഉപകരണങ്ങൾ സംഭരിക്കുന്നതിനും മോഷ്ടിച്ച വിവരങ്ങൾ ശേഖരിക്കുന്നതിനും ഈ ക്രിമിനൽ ഗ്രൂപ്പ് ഉപയോഗിക്കുന്ന ഒരു വെബ്‌സൈറ്റ് ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകൾ കണ്ടെത്തി വിശകലനം ചെയ്തു.

ആക്രമണകാരികളുടെ സെർവറിൽ കണ്ടെത്തിയ ഉപകരണങ്ങളിൽ, Linux OS-ലെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിനുള്ള സ്‌ക്രിപ്റ്റുകളും ചൂഷണങ്ങളും ഉൾപ്പെടുന്നു: ഉദാഹരണത്തിന്, മൈക്ക് സുമാക് വികസിപ്പിച്ച ലിനക്സ് പ്രിവിലേജ് എസ്കലേഷൻ ചെക്ക് സ്‌ക്രിപ്‌റ്റും കൂടാതെ CVE-2009-1185-നുള്ള ചൂഷണവും.

ഓൺലൈൻ സ്റ്റോറുകളെ ആക്രമിക്കാൻ അക്രമികൾ നേരിട്ട് രണ്ട് ചൂഷണങ്ങൾ ഉപയോഗിച്ചു: первый ക്ഷുദ്ര കോഡ് കുത്തിവയ്ക്കാൻ കഴിവുള്ള core_config_data CVE-2016-4010 ചൂഷണം ചെയ്തുകൊണ്ട്, രണ്ടാമത്തേത് CMS Magento-നുള്ള പ്ലഗിനുകളിൽ RCE കേടുപാടുകൾ മുതലെടുക്കുന്നു, ഇത് ഒരു ദുർബലമായ വെബ് സെർവറിൽ അനിയന്ത്രിതമായ കോഡ് നടപ്പിലാക്കാൻ അനുവദിക്കുന്നു.

കൂടാതെ, സെർവറിന്റെ വിശകലനത്തിനിടെ, ഹാക്ക് ചെയ്ത സൈറ്റുകളിൽ നിന്ന് പേയ്‌മെന്റ് വിവരങ്ങൾ ശേഖരിക്കാൻ ആക്രമണകാരികൾ ഉപയോഗിക്കുന്ന സ്‌നിഫർമാരുടെ വിവിധ സാമ്പിളുകളും വ്യാജ പേയ്‌മെന്റ് ഫോമുകളും കണ്ടെത്തി. ചുവടെയുള്ള പട്ടികയിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഹാക്ക് ചെയ്യപ്പെട്ട ഓരോ സൈറ്റിനും വ്യക്തിഗതമായി ചില സ്ക്രിപ്റ്റുകൾ സൃഷ്ടിച്ചു, അതേസമയം ചില CMS-നും പേയ്‌മെന്റ് ഗേറ്റ്‌വേകൾക്കും ഒരു സാർവത്രിക പരിഹാരം ഉപയോഗിച്ചു. ഉദാഹരണത്തിന്, സ്ക്രിപ്റ്റുകൾ segapay_standart.js и segapay_onpage.js സേജ് പേ പേയ്‌മെന്റ് ഗേറ്റ്‌വേ ഉപയോഗിച്ച് സൈറ്റുകളിൽ നടപ്പിലാക്കുന്നതിനായി രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു.

വിവിധ പേയ്‌മെന്റ് ഗേറ്റ്‌വേകൾക്കായുള്ള സ്‌ക്രിപ്റ്റുകളുടെ ലിസ്റ്റ്

സ്ക്രിപ്റ്റ്	പേയ്‌മെന്റ് ഗേറ്റ്‌വേ
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolenghi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

ഹോസ്റ്റ് പേയ്മെന്റ് ഇപ്പോൾ[.]tk, ഒരു സ്ക്രിപ്റ്റിൽ ഗേറ്റായി ഉപയോഗിക്കുന്നു Payment_forminsite.js, ആയി കണ്ടെത്തി SubjectAltName CloudFlare സേവനവുമായി ബന്ധപ്പെട്ട നിരവധി സർട്ടിഫിക്കറ്റുകളിൽ. കൂടാതെ, ഹോസ്റ്റിൽ ഒരു സ്ക്രിപ്റ്റ് അടങ്ങിയിരിക്കുന്നു ദോഷം.js. സ്‌ക്രിപ്റ്റിന്റെ പേരിൽ വിലയിരുത്തിയാൽ, CVE-2016-4010-ന്റെ ചൂഷണത്തിന്റെ ഭാഗമായി ഇത് ഉപയോഗിക്കാനാകും, Magento CMS പ്രവർത്തിക്കുന്ന ഒരു സൈറ്റിന്റെ അടിക്കുറിപ്പിലേക്ക് ക്ഷുദ്ര കോഡ് കുത്തിവയ്ക്കാൻ ഇതിന് നന്ദി. ഹോസ്റ്റ് ഈ സ്ക്രിപ്റ്റ് ഒരു ഗേറ്റായി ഉപയോഗിച്ചു request.requestnet[.]tkഹോസ്റ്റിന്റെ അതേ സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്നു പേയ്മെന്റ് ഇപ്പോൾ[.]tk.

വ്യാജ പേയ്‌മെന്റ് ഫോമുകൾ

കാർഡ് ഡാറ്റ നൽകുന്നതിനുള്ള ഒരു ഫോമിന്റെ ഉദാഹരണം ചുവടെയുള്ള ചിത്രം കാണിക്കുന്നു. ഒരു ഓൺലൈൻ സ്റ്റോറിൽ നുഴഞ്ഞുകയറാനും കാർഡ് ഡാറ്റ മോഷ്ടിക്കാനും ഈ ഫോം ഉപയോഗിച്ചു.

ഈ പേയ്‌മെന്റ് രീതി ഉപയോഗിച്ച് സൈറ്റുകളിലേക്ക് നുഴഞ്ഞുകയറാൻ ആക്രമണകാരികൾ ഉപയോഗിച്ച ഒരു വ്യാജ PayPal പേയ്‌മെന്റ് ഫോമിന്റെ ഉദാഹരണം ഇനിപ്പറയുന്ന ചിത്രം കാണിക്കുന്നു.

ഇൻഫ്രാസ്ട്രക്ചർ

ഡൊമെൻ	കണ്ടെത്തിയ തീയതി/ദൃശ്യം
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paynow.tk	16/07/2017
Payment-line.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

കാപ്പിമൊക്കോ കുടുംബം

ഓൺലൈൻ സ്‌റ്റോർ ഉപയോക്താക്കളിൽ നിന്ന് ബാങ്ക് കാർഡുകൾ മോഷ്ടിക്കാൻ രൂപകൽപ്പന ചെയ്‌ത സ്‌നിഫേഴ്‌സിന്റെ CoffeMokko കുടുംബം, കുറഞ്ഞത് 2017 മെയ് മുതൽ ഉപയോഗത്തിലുണ്ട്. 1-ൽ RiskIQ സ്പെഷ്യലിസ്റ്റുകൾ വിവരിച്ച ക്രിമിനൽ ഗ്രൂപ്പ് ഗ്രൂപ്പ് 2016 ആണ് സ്നിഫർമാരുടെ ഈ കുടുംബത്തിന്റെ ഓപ്പറേറ്റർമാർ. Magento, OpenCart, WordPress, osCommerce, Shopify തുടങ്ങിയ CMS-കൾ പ്രവർത്തിക്കുന്ന സൈറ്റുകൾ ആക്രമിക്കപ്പെട്ടു.

ഒരു ഓൺലൈൻ സ്റ്റോറിന്റെ കോഡിലേക്ക് CoffeMokko എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത്

ഈ കുടുംബത്തിലെ ഓപ്പറേറ്റർമാർ ഓരോ അണുബാധയ്ക്കും തനതായ സ്നിഫറുകൾ സൃഷ്ടിക്കുന്നു: സ്നിഫർ ഫയൽ ഡയറക്ടറിയിൽ സ്ഥിതിചെയ്യുന്നു ഉറവിട അഥവാ js ആക്രമണകാരികളുടെ സെർവറിൽ. സൈറ്റ് കോഡിലേക്ക് സംയോജിപ്പിക്കുന്നത് സ്നിഫറിലേക്കുള്ള നേരിട്ടുള്ള ലിങ്ക് വഴിയാണ് നടത്തുന്നത്.

ഡാറ്റ മോഷ്ടിക്കേണ്ട ഫോം ഫീൽഡുകളുടെ പേരുകൾ സ്നിഫർ കോഡ് ഹാർഡ്കോഡ് ചെയ്യുന്നു. ഉപയോക്താവിന്റെ നിലവിലെ വിലാസമുള്ള കീവേഡുകളുടെ ലിസ്റ്റ് പരിശോധിച്ച് ഉപയോക്താവ് പേയ്‌മെന്റ് പേജിലാണോ എന്ന് സ്നിഫർ പരിശോധിക്കുന്നു.

സ്നിഫറിന്റെ ചില കണ്ടെത്തിയ പതിപ്പുകൾ അവ്യക്തമാണ്, കൂടാതെ എൻക്രിപ്റ്റ് ചെയ്ത ഒരു സ്ട്രിംഗ് അടങ്ങിയിരിക്കുന്നു, അതിൽ വിഭവങ്ങളുടെ പ്രധാന ശ്രേണി സംഭരിച്ചു: അതിൽ വിവിധ പേയ്‌മെന്റ് സിസ്റ്റങ്ങൾക്കായുള്ള ഫോം ഫീൽഡുകളുടെ പേരുകളും മോഷ്ടിച്ച ഡാറ്റ അയയ്‌ക്കേണ്ട ഗേറ്റ് വിലാസവും അടങ്ങിയിരിക്കുന്നു.

മോഷ്ടിച്ച പേയ്‌മെന്റ് വിവരങ്ങൾ വഴിയിൽ ആക്രമണകാരികളുടെ സെർവറിലെ ഒരു സ്‌ക്രിപ്റ്റിലേക്ക് അയച്ചു /savePayment/index.php അല്ലെങ്കിൽ /tr/index.php. എല്ലാ സ്‌നിഫർമാരിൽ നിന്നുമുള്ള ഡാറ്റ ഏകീകരിക്കുന്ന ഗേറ്റിൽ നിന്ന് പ്രധാന സെർവറിലേക്ക് ഡാറ്റ അയയ്‌ക്കാൻ ഈ സ്‌ക്രിപ്റ്റ് ഉപയോഗിക്കുന്നു. കൈമാറിയ ഡാറ്റ മറയ്‌ക്കുന്നതിന്, ഇരയുടെ എല്ലാ പേയ്‌മെന്റ് വിവരങ്ങളും ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്യുന്നു ബേസ് 64, തുടർന്ന് നിരവധി പ്രതീകങ്ങൾ മാറ്റിസ്ഥാപിക്കലുകൾ സംഭവിക്കുന്നു:

• "e" എന്ന അക്ഷരത്തിന് പകരം ":"
• "w" ചിഹ്നത്തിന് പകരം "+"
• "o" പ്രതീകത്തിന് പകരം "%"
• "d" പ്രതീകം "#" ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നു
• "a" എന്ന അക്ഷരത്തിന് പകരം "-"
• "7" എന്ന ചിഹ്നത്തിന് പകരം "^"
• "h" എന്ന അക്ഷരത്തിന് പകരം "_"
• "T" ചിഹ്നത്തിന് പകരം "@"
• "0" എന്ന അക്ഷരത്തിന് പകരം "/"
• "Y" എന്ന അക്ഷരത്തിന് പകരം "*"

ഉപയോഗിച്ച് എൻകോഡ് ചെയ്‌ത പ്രതീക പകരക്കാരുടെ ഫലമായി ബേസ് 64 റിവേഴ്സ് കൺവേർഷൻ നടത്താതെ ഡാറ്റ ഡീകോഡ് ചെയ്യാൻ കഴിയില്ല.

അവ്യക്തമാക്കാത്ത സ്നിഫർ കോഡിന്റെ ഒരു ശകലം ഇങ്ങനെയാണ്:

ഇൻഫ്രാസ്ട്രക്ചർ വിശകലനം

ആദ്യകാല കാമ്പെയ്‌നുകളിൽ, നിയമാനുസൃത ഓൺലൈൻ ഷോപ്പിംഗ് സൈറ്റുകളുടേതിന് സമാനമായ ഡൊമെയ്‌ൻ നാമങ്ങൾ അക്രമികൾ രജിസ്റ്റർ ചെയ്തു. അവരുടെ ഡൊമെയ്‌ൻ നിയമാനുസൃതമായ ഒന്നൊന്നായി അല്ലെങ്കിൽ മറ്റൊരു TLD-ൽ നിന്ന് വ്യത്യസ്തമായിരിക്കും. സ്‌നിഫർ കോഡ് സംഭരിക്കുന്നതിന് രജിസ്റ്റർ ചെയ്ത ഡൊമെയ്‌നുകൾ ഉപയോഗിച്ചു, സ്റ്റോർ കോഡിൽ ഉൾച്ചേർത്ത ഒരു ലിങ്ക്.

ഈ ഗ്രൂപ്പ് ജനപ്രിയ jQuery പ്ലഗിന്നുകളെ അനുസ്മരിപ്പിക്കുന്ന ഡൊമെയ്ൻ നാമങ്ങളും ഉപയോഗിച്ചു (slickjs[.]org പ്ലഗിൻ ഉപയോഗിക്കുന്ന സൈറ്റുകൾക്കായി slick.js), പേയ്‌മെന്റ് ഗേറ്റ്‌വേകൾ (sagecdn[.]org സേജ് പേ പേയ്‌മെന്റ് സിസ്റ്റം ഉപയോഗിക്കുന്ന സൈറ്റുകൾക്കായി).

പിന്നീട്, സ്റ്റോറിന്റെ ഡൊമെയ്‌നോ സ്‌റ്റോറിന്റെ തീമുമായോ യാതൊരു ബന്ധവുമില്ലാത്ത ഡൊമെയ്‌നുകൾ ഗ്രൂപ്പ് സൃഷ്‌ടിക്കാൻ തുടങ്ങി.

ഓരോ ഡൊമെയ്‌നും ഡയറക്ടറി സൃഷ്‌ടിച്ച ഒരു സൈറ്റുമായി പൊരുത്തപ്പെടുന്നു /js അഥവാ / src. ഈ ഡയറക്‌ടറിയിൽ സ്‌നിഫർ സ്‌ക്രിപ്റ്റുകൾ സംഭരിച്ചു: ഓരോ പുതിയ അണുബാധയ്‌ക്കും ഒരു സ്‌നിഫർ. നേരിട്ടുള്ള ലിങ്ക് വഴി സ്‌നിഫർ വെബ്‌സൈറ്റ് കോഡിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, എന്നാൽ അപൂർവ സന്ദർഭങ്ങളിൽ, ആക്രമണകാരികൾ വെബ്‌സൈറ്റ് ഫയലുകളിലൊന്ന് പരിഷ്‌ക്കരിക്കുകയും അതിൽ ക്ഷുദ്ര കോഡ് ചേർക്കുകയും ചെയ്തു.

കോഡ് വിശകലനം

ആദ്യത്തെ അവ്യക്തത അൽഗോരിതം

ഈ കുടുംബത്തിലെ സ്നിഫർമാരുടെ ചില കണ്ടെത്തിയ സാമ്പിളുകളിൽ, കോഡ് അവ്യക്തമാക്കുകയും സ്നിഫർ പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റ അടങ്ങിയിരിക്കുകയും ചെയ്തു: പ്രത്യേകിച്ചും, സ്നിഫർ ഗേറ്റ് വിലാസം, പേയ്മെന്റ് ഫോം ഫീൽഡുകളുടെ ഒരു ലിസ്റ്റ്, ചില സന്ദർഭങ്ങളിൽ, ഒരു വ്യാജ കോഡ്. പേയ്മെന്റ് ഫോം. ഫംഗ്‌ഷനുള്ളിലെ കോഡിൽ, ഉറവിടങ്ങൾ ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്‌തു XOR അതേ ഫംഗ്‌ഷനിലേക്കുള്ള ഒരു ആർഗ്യുമെന്റായി പാസ്സാക്കിയ കീ ഉപയോഗിച്ച്.

ഓരോ സാമ്പിളിനും അദ്വിതീയമായ, ഉചിതമായ കീ ഉപയോഗിച്ച് സ്‌ട്രിംഗ് ഡീക്രിപ്റ്റ് ചെയ്യുന്നതിലൂടെ, ഒരു സെപ്പറേറ്റർ പ്രതീകത്താൽ വേർതിരിച്ച സ്‌നിഫർ കോഡിൽ നിന്ന് എല്ലാ സ്‌ട്രിംഗുകളും അടങ്ങുന്ന ഒരു സ്‌ട്രിംഗ് നിങ്ങൾക്ക് ലഭിക്കും.

രണ്ടാമത്തെ അവ്യക്തത അൽഗോരിതം

ഈ കുടുംബത്തിലെ സ്നിഫർമാരുടെ പിന്നീടുള്ള സാമ്പിളുകളിൽ, വ്യത്യസ്തമായ ഒരു അവ്യക്തത സംവിധാനം ഉപയോഗിച്ചു: ഈ സാഹചര്യത്തിൽ, സ്വയം എഴുതിയ അൽഗോരിതം ഉപയോഗിച്ച് ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്തു. സ്നിഫർ പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റ അടങ്ങിയ ഒരു സ്ട്രിംഗ് ഡീക്രിപ്ഷൻ ഫംഗ്ഷനിലേക്ക് ഒരു ആർഗ്യുമെന്റായി കൈമാറി.

ബ്രൗസർ കൺസോൾ ഉപയോഗിച്ച്, നിങ്ങൾക്ക് എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റ ഡീക്രിപ്റ്റ് ചെയ്യാനും സ്നിഫർ ഉറവിടങ്ങൾ അടങ്ങിയ ഒരു അറേ നേടാനും കഴിയും.

ആദ്യകാല MageCart ആക്രമണങ്ങളിലേക്കുള്ള കണക്ഷൻ

മോഷ്ടിച്ച ഡാറ്റ ശേഖരിക്കുന്നതിനുള്ള ഒരു ഗേറ്റ്‌വേ ആയി ഗ്രൂപ്പ് ഉപയോഗിക്കുന്ന ഡൊമെയ്‌നുകളിലൊന്നിന്റെ വിശകലനത്തിൽ, ഈ ഡൊമെയ്‌ൻ ക്രെഡിറ്റ് കാർഡ് മോഷണത്തിനായി ഒരു ഇൻഫ്രാസ്ട്രക്ചർ വിന്യസിച്ചതായി കണ്ടെത്തി, ആദ്യ ഗ്രൂപ്പുകളിലൊന്നായ ഗ്രൂപ്പ് 1 ഉപയോഗിച്ചതിന് സമാനമാണ്, കണ്ടെത്തി RiskIQ സ്പെഷ്യലിസ്റ്റുകൾ മുഖേന.

സ്‌നിഫർമാരുടെ കോഫിമോക്കോ കുടുംബത്തിന്റെ ഹോസ്റ്റിൽ രണ്ട് ഫയലുകൾ കണ്ടെത്തി:

• mage.js — ഗേറ്റ് വിലാസമുള്ള ഗ്രൂപ്പ് 1 സ്നിഫർ കോഡ് അടങ്ങിയ ഫയൽ js-cdn.link
• mag.php - സ്നിഫർ മോഷ്ടിച്ച ഡാറ്റ ശേഖരിക്കുന്നതിന് PHP സ്ക്രിപ്റ്റ് ഉത്തരവാദിയാണ്

mage.js ഫയലിന്റെ ഉള്ളടക്കം
സ്‌നിഫർമാരുടെ കോഫിമോക്കോ കുടുംബത്തിന് പിന്നിലെ ഗ്രൂപ്പ് ഉപയോഗിച്ചിരുന്ന ആദ്യകാല ഡൊമെയ്‌നുകൾ 17 മെയ് 2017-നാണ് രജിസ്റ്റർ ചെയ്തതെന്നും നിർണ്ണയിച്ചു:

• link-js[.]ലിങ്ക്
• info-js[.]ലിങ്ക്
• ട്രാക്ക്-ജെഎസ്[.]ലിങ്ക്
• map-js[.]ലിങ്ക്
• smart-js[.]ലിങ്ക്

ഈ ഡൊമെയ്ൻ നാമങ്ങളുടെ ഫോർമാറ്റ് 1 ആക്രമണങ്ങളിൽ ഉപയോഗിച്ച ഗ്രൂപ്പ് 2016 ഡൊമെയ്ൻ നാമങ്ങളുമായി പൊരുത്തപ്പെടുന്നു.

കണ്ടെത്തിയ വസ്തുതകളെ അടിസ്ഥാനമാക്കി, കോഫിമോക്കോ സ്നിഫർമാരുടെ ഓപ്പറേറ്റർമാരും ക്രിമിനൽ ഗ്രൂപ്പ് 1 ഉം തമ്മിൽ ബന്ധമുണ്ടെന്ന് അനുമാനിക്കാം. CoffeMokko ഓപ്പറേറ്റർമാർക്ക് അവരുടെ മുൻഗാമികളിൽ നിന്ന് കാർഡുകൾ മോഷ്ടിക്കാൻ ഉപകരണങ്ങളും സോഫ്‌റ്റ്‌വെയറുകളും കടമെടുത്തിട്ടുണ്ടാകാം. എന്നിരുന്നാലും, CoffeMokko കുടുംബത്തിലെ സ്നിഫർമാരുടെ ഉപയോഗത്തിന് പിന്നിൽ ക്രിമിനൽ ഗ്രൂപ്പ് 1 ആക്രമണം നടത്തിയ അതേ ആളുകൾ ആയിരിക്കാനാണ് സാധ്യത. തടയുകയും ഉപകരണങ്ങൾ വിശദമായി പഠിക്കുകയും വിവരിക്കുകയും ചെയ്തു. ആക്രമണങ്ങൾ തുടരുന്നതിനും കണ്ടെത്താതിരിക്കുന്നതിനും ഗ്രൂപ്പിന് ഇടവേള എടുക്കാനും അതിന്റെ ആന്തരിക ഉപകരണങ്ങൾ പരിഷ്കരിക്കാനും സ്നിഫർ കോഡ് മാറ്റിയെഴുതാനും നിർബന്ധിതരായി.

ഇൻഫ്രാസ്ട്രക്ചർ

ഡൊമെൻ	കണ്ടെത്തിയ തീയതി/ദൃശ്യം
link-js.link	17.05.2017
info-js.link	17.05.2017
ട്രാക്ക്-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
security-payment.su	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
പാർക്കുകൾ.സു	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
ബാറ്ററിനാർട്ട്.കോം	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypay.org	11.05.2018
ar500arnor.com	26.05.2018
authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

അവലംബം: www.habr.com