चार JavaScript स्निफर जे ऑनलाइन स्टोअरमध्ये तुमची वाट पाहत आहेत

आपण जवळजवळ सर्वजण ऑनलाइन स्टोअरच्या सेवा वापरतो, याचा अर्थ लवकरच किंवा नंतर आपण JavaScript स्निफरचा बळी होण्याचा धोका पत्करतो - विशेष कोड जो आक्रमणकर्ते वापरकर्त्यांचा बँक कार्ड डेटा, पत्ते, लॉगिन आणि पासवर्ड चोरण्यासाठी वेबसाइटवर लागू करतात. .

ब्रिटिश एअरवेज वेबसाइट आणि मोबाइल ऍप्लिकेशनचे जवळजवळ 400 वापरकर्ते आधीच स्निफर्समुळे प्रभावित झाले आहेत, तसेच स्पोर्ट्स जायंट FILA आणि अमेरिकन तिकीट वितरक तिकीटमास्टरच्या ब्रिटीश वेबसाइटला भेट देणारे अभ्यागत आहेत. PayPal, Chase Paymenttech, USAePay, Moneris - या आणि इतर अनेक पेमेंट सिस्टम संक्रमित झाल्या होत्या.

थ्रेट इंटेलिजन्स ग्रुप-आयबीचे विश्लेषक व्हिक्टर ओकोरोकोव्ह स्निफर्स वेबसाइट कोडमध्ये घुसखोरी कशी करतात आणि पेमेंट माहिती चोरतात, तसेच ते कोणत्या CRM वर हल्ला करतात याबद्दल बोलतात.

"लपलेली धमकी"

असे घडले की जेएस स्निफर्स बर्याच काळापासून अँटी-व्हायरस विश्लेषकांच्या नजरेतून बाहेर राहिले आणि बँका आणि पेमेंट सिस्टमने त्यांना गंभीर धोका म्हणून पाहिले नाही. आणि पूर्णपणे व्यर्थ. ग्रुप-आयबी तज्ञ विश्लेषण केले 2440 संक्रमित ऑनलाइन स्टोअर, ज्यांचे अभ्यागत - दररोज सुमारे 1,5 दशलक्ष लोक - तडजोड होण्याचा धोका होता. पीडितांमध्ये केवळ वापरकर्तेच नाहीत तर ऑनलाइन स्टोअर्स, पेमेंट सिस्टम आणि तडजोड कार्ड जारी करणाऱ्या बँका देखील आहेत.

अहवाल द्या ग्रुप-आयबी स्निफर, त्यांच्या पायाभूत सुविधा आणि कमाईच्या पद्धतींसाठी डार्कनेट मार्केटचा पहिला अभ्यास बनला, ज्यामुळे त्यांच्या निर्मात्यांना लाखो डॉलर्स मिळतात. आम्ही स्निफरची 38 कुटुंबे ओळखली, ज्यापैकी फक्त 12 पूर्वी संशोधकांना ज्ञात होत्या.

अभ्यासादरम्यान अभ्यासलेल्या स्निफरच्या चार कुटुंबांवर आपण तपशीलवार राहू या.

ReactGet Family

ReactGet कुटुंबातील स्निफर्सचा वापर ऑनलाइन शॉपिंग साइट्सवरील बँक कार्ड डेटा चोरण्यासाठी केला जातो. स्निफर साइटवर वापरल्या जाणार्‍या मोठ्या संख्येने विविध पेमेंट सिस्टमसह कार्य करू शकतो: एक पॅरामीटर मूल्य एका पेमेंट सिस्टमशी संबंधित आहे आणि स्निफरच्या वैयक्तिक आढळलेल्या आवृत्त्या क्रेडेन्शियल चोरण्यासाठी तसेच पेमेंटमधून बँक कार्ड डेटा चोरण्यासाठी वापरल्या जाऊ शकतात. तथाकथित युनिव्हर्सल स्निफर सारख्या एकाच वेळी अनेक पेमेंट सिस्टमचे प्रकार. असे आढळून आले की काही प्रकरणांमध्ये, साइटच्या प्रशासकीय पॅनेलमध्ये प्रवेश मिळविण्यासाठी हल्लेखोर ऑनलाइन स्टोअर प्रशासकांवर फिशिंग हल्ले करतात.

स्निफरच्या या कुटुंबाचा वापर करणारी मोहीम मे 2017 मध्ये सुरू झाली; CMS आणि Magento, Bigcommerce आणि Shopify प्लॅटफॉर्मवर चालणाऱ्या साइटवर हल्ला करण्यात आला.

ऑनलाइन स्टोअरच्या कोडमध्ये ReactGet कसे लागू केले जाते

लिंकद्वारे स्क्रिप्टच्या “क्लासिक” अंमलबजावणी व्यतिरिक्त, स्निफर्सच्या ReactGet कुटुंबाचे ऑपरेटर एक विशेष तंत्र वापरतात: JavaScript कोड वापरून, ते तपासतात की वापरकर्ता जेथे स्थित आहे तो वर्तमान पत्ता विशिष्ट निकष पूर्ण करतो की नाही. जर वर्तमान URL मध्ये सबस्ट्रिंग असेल तरच दुर्भावनापूर्ण कोड कार्यान्वित केला जाईल चेकआऊट किंवा एक पाऊल चेकआउट, एक पान/, आउट/वनपॅग, चेकआउट/एक, ckout/एक. अशा प्रकारे, जेव्हा वापरकर्ता खरेदीसाठी पैसे देण्यास पुढे जाईल आणि साइटवरील फॉर्ममध्ये देयक माहिती प्रविष्ट करेल तेव्हा स्निफर कोड अचूकपणे कार्यान्वित केला जाईल.

हे स्निफर नॉन-स्टँडर्ड तंत्र वापरते. पीडितेचे पेमेंट आणि वैयक्तिक डेटा एकत्र गोळा केला जातो आणि वापरून एन्कोड केला जातो बेस 64, आणि नंतर परिणामी स्ट्रिंगचा वापर हल्लेखोरांच्या वेबसाइटवर विनंती पाठवण्यासाठी पॅरामीटर म्हणून केला जातो. बर्याचदा, गेटचा मार्ग जावास्क्रिप्ट फाइलचे अनुकरण करतो, उदाहरणार्थ resp.js, data.js इत्यादी, परंतु प्रतिमा फायलींचे दुवे देखील वापरले जातात, जीआयएफ и जेपीजी. वैशिष्ठ्य म्हणजे स्निफर 1 बाय 1 पिक्सेल मापनाची इमेज ऑब्जेक्ट बनवतो आणि आधी मिळालेली लिंक पॅरामीटर म्हणून वापरतो. Src प्रतिमा. म्हणजेच, वापरकर्त्यासाठी रहदारीमधील अशी विनंती सामान्य चित्राच्या विनंतीसारखी दिसेल. स्निफर्सच्या इमेजआयडी कुटुंबात तत्सम तंत्र वापरले गेले. याव्यतिरिक्त, 1 बाय 1 पिक्सेल प्रतिमा वापरण्याचे तंत्र अनेक वैध ऑनलाइन विश्लेषण स्क्रिप्टमध्ये वापरले जाते, जे वापरकर्त्याची दिशाभूल देखील करू शकते.

आवृत्ती विश्लेषण

ReactGet स्निफर ऑपरेटर्सद्वारे वापरलेल्या सक्रिय डोमेनच्या विश्लेषणाने स्निफरच्या या कुटुंबाच्या अनेक भिन्न आवृत्त्या उघड केल्या. अस्पष्टतेच्या उपस्थितीत किंवा अनुपस्थितीत आवृत्त्या भिन्न आहेत आणि त्याव्यतिरिक्त, प्रत्येक स्निफर एका विशिष्ट पेमेंट सिस्टमसाठी डिझाइन केले आहे जे ऑनलाइन स्टोअरसाठी बँक कार्ड पेमेंटवर प्रक्रिया करते. आवृत्ती क्रमांकाशी संबंधित पॅरामीटरच्या मूल्याद्वारे क्रमवारी लावल्यानंतर, ग्रुप-आयबी तज्ञांना उपलब्ध स्निफर भिन्नतेची संपूर्ण यादी प्राप्त झाली आणि प्रत्येक स्निफर पृष्ठ कोडमध्ये शोधत असलेल्या फॉर्म फील्डच्या नावांनुसार, त्यांनी पेमेंट सिस्टम ओळखले. की स्निफरचा उद्देश आहे.

स्निफर आणि त्यांच्या संबंधित पेमेंट सिस्टमची यादी

स्निफर URL	पेमेंट सिस्टम
reactjsapi.com/react.js	अधिकृत करा.नेट
ajaxstatic.com/api.js?v=2.1.1	कार्डसेव्ह
ajaxstatic.com/api.js?v=2.1.2	अधिकृत करा.नेट
ajaxstatic.com/api.js?v=2.1.3	अधिकृत करा.नेट
ajaxstatic.com/api.js?v=2.1.4	eWAY रॅपिड
ajaxstatic.com/api.js?v=2.1.5	अधिकृत करा.नेट
ajaxstatic.com/api.js?v=2.1.6	अ‍ॅडियन
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	अधिकृत करा.नेट
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	अधिकृत करा.नेट
apitstatus.com/api.js?v=2.1.3	मोनेरिस
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	पेपल
apitstatus.com/api.js?v=2.1.7	Payषी वेतन
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	पेपल
apitstatus.com/api.js?v=2.3.0	प्रकार
apitstatus.com/api.js?v=3.0.2	Realex
apitstatus.com/api.js?v=3.0.3	पेपल
apitstatus.com/api.js?v=3.0.4	LinkPoint
apitstatus.com/api.js?v=3.0.5	पेपल
apitstatus.com/api.js?v=3.0.7	पेपल
apitstatus.com/api.js?v=3.0.8	डेटाकॅश
apitstatus.com/api.js?v=3.0.9	पेपल
asianfoodgracer.com/footer.js	अधिकृत करा.नेट
billgetstatus.com/api.js?v=1.2	अधिकृत करा.नेट
billgetstatus.com/api.js?v=1.3	अधिकृत करा.नेट
billgetstatus.com/api.js?v=1.4	अधिकृत करा.नेट
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	अधिकृत करा.नेट
billgetstatus.com/api.js?v=1.7	मोनेरिस
billgetstatus.com/api.js?v=1.8	Payषी वेतन
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	अधिकृत करा.नेट
cloudodesc.com/gtm.js?v=1.2	अधिकृत करा.नेट
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	अधिकृत करा.नेट
cloudodesc.com/gtm.js?v=2.4	मोनेरिस
cloudodesc.com/gtm.js?v=2.6	Payषी वेतन
cloudodesc.com/gtm.js?v=2.7	Payषी वेतन
cloudodesc.com/gtm.js?v=2.8	पाठलाग पेमेन्टेक
cloudodesc.com/gtm.js?v=2.9	अधिकृत करा.नेट
cloudodesc.com/gtm.js?v=2.91	अ‍ॅडियन
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	सायबर स्रोत
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	Realex
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	अधिकृत करा.नेट
gtmproc.com/gtm.js?v=1.2	अधिकृत करा.नेट
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	पेपल
gtmproc.com/gtm.js?v=1.6	पेपल
gtmproc.com/gtm.js?v=1.7	Realex
livecheckpay.com/api.js?v=2.0	Payषी वेतन
livecheckpay.com/api.js?v=2.1	पेपल
livecheckpay.com/api.js?v=2.2	Verisign
livecheckpay.com/api.js?v=2.3	अधिकृत करा.नेट
livecheckpay.com/api.js?v=2.4	Verisign
livecheckpay.com/react.js	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	पेपल
livegetpay.com/pay.js?v=2.1.5	सायबर स्रोत
livegetpay.com/pay.js?v=2.1.7	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.1.8	Payषी वेतन
livegetpay.com/pay.js?v=2.1.9	Realex
livegetpay.com/pay.js?v=2.2.0	सायबर स्रोत
livegetpay.com/pay.js?v=2.2.1	पेपल
livegetpay.com/pay.js?v=2.2.2	पेपल
livegetpay.com/pay.js?v=2.2.3	पेपल
livegetpay.com/pay.js?v=2.2.4	Verisign
livegetpay.com/pay.js?v=2.2.5	eWAY रॅपिड
livegetpay.com/pay.js?v=2.2.7	Payषी वेतन
livegetpay.com/pay.js?v=2.2.8	Payषी वेतन
livegetpay.com/pay.js?v=2.2.9	Verisign
livegetpay.com/pay.js?v=2.3.0	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.3.1	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.3.2	प्रथम डेटा ग्लोबल गेटवे
livegetpay.com/pay.js?v=2.3.3	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.3.4	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.3.5	मोनेरिस
livegetpay.com/pay.js?v=2.3.6	अधिकृत करा.नेट
livegetpay.com/pay.js?v=2.3.8	पेपल
livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	अधिकृत करा.नेट
mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	पेपल
mxcounter.com/c.js?v=1.3	अधिकृत करा.नेट
mxcounter.com/c.js?v=1.4	प्रकार
mxcounter.com/c.js?v=1.6	अधिकृत करा.नेट
mxcounter.com/c.js?v=1.7	eWAY रॅपिड
mxcounter.com/c.js?v=1.8	Payषी वेतन
mxcounter.com/c.js?v=2.0	अधिकृत करा.नेट
mxcounter.com/c.js?v=2.1	ब्रान्ट्री
mxcounter.com/c.js?v=2.10	ब्रान्ट्री
mxcounter.com/c.js?v=2.2	पेपल
mxcounter.com/c.js?v=2.3	Payषी वेतन
mxcounter.com/c.js?v=2.31	Payषी वेतन
mxcounter.com/c.js?v=2.32	अधिकृत करा.नेट
mxcounter.com/c.js?v=2.33	पेपल
mxcounter.com/c.js?v=2.34	अधिकृत करा.नेट
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	पेपल
mxcounter.com/click.js?v=1.3	अधिकृत करा.नेट
mxcounter.com/click.js?v=1.4	प्रकार
mxcounter.com/click.js?v=1.6	अधिकृत करा.नेट
mxcounter.com/click.js?v=1.7	eWAY रॅपिड
mxcounter.com/click.js?v=1.8	Payषी वेतन
mxcounter.com/click.js?v=2.0	अधिकृत करा.नेट
mxcounter.com/click.js?v=2.1	ब्रान्ट्री
mxcounter.com/click.js?v=2.2	पेपल
mxcounter.com/click.js?v=2.3	Payषी वेतन
mxcounter.com/click.js?v=2.31	Payषी वेतन
mxcounter.com/click.js?v=2.32	अधिकृत करा.नेट
mxcounter.com/click.js?v=2.33	पेपल
mxcounter.com/click.js?v=2.34	अधिकृत करा.नेट
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	अधिकृत करा.नेट
mxcounter.com/j.js	अधिकृत करा.नेट
newrelicnet.com/api.js?v=1.2	अधिकृत करा.नेट
newrelicnet.com/api.js?v=1.4	अधिकृत करा.नेट
newrelicnet.com/api.js?v=1.8	Payषी वेतन
newrelicnet.com/api.js?v=4.5	Payषी वेतन
newrelicnet.com/api.js?v=4.6	वेस्टपॅक पेवे
nr-public.com/api.js?v=2.0	पेफोर्ट
nr-public.com/api.js?v=2.1	पेपल
nr-public.com/api.js?v=2.2	अधिकृत करा.नेट
nr-public.com/api.js?v=2.3	प्रकार
nr-public.com/api.js?v=2.4	प्रथम डेटा ग्लोबल गेटवे
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	अधिकृत करा.नेट
nr-public.com/api.js?v=2.7	अधिकृत करा.नेट
nr-public.com/api.js?v=2.8	मोनेरिस
nr-public.com/api.js?v=2.9	अधिकृत करा.नेट
nr-public.com/api.js?v=3.1	Payषी वेतन
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	मोनेरिस
nr-public.com/api.js?v=3.5	पेपल
nr-public.com/api.js?v=3.6	LinkPoint
nr-public.com/api.js?v=3.7	वेस्टपॅक पेवे
nr-public.com/api.js?v=3.8	अधिकृत करा.नेट
nr-public.com/api.js?v=4.0	मोनेरिस
nr-public.com/api.js?v=4.0.2	पेपल
nr-public.com/api.js?v=4.0.3	अ‍ॅडियन
nr-public.com/api.js?v=4.0.4	पेपल
nr-public.com/api.js?v=4.0.5	अधिकृत करा.नेट
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	अधिकृत करा.नेट
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.12	पेपल
ordercheckpays.com/api.js?v=2.13	मोनेरिस
ordercheckpays.com/api.js?v=2.14	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.15	पेपल
ordercheckpays.com/api.js?v=2.16	पेपल
ordercheckpays.com/api.js?v=2.17	वेस्टपॅक पेवे
ordercheckpays.com/api.js?v=2.18	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.19	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.21	Payषी वेतन
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.24	पेपल
ordercheckpays.com/api.js?v=2.25	पेफोर्ट
ordercheckpays.com/api.js?v=2.29	सायबर स्रोत
ordercheckpays.com/api.js?v=2.4	PayPal Payflow Pro
ordercheckpays.com/api.js?v=2.7	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.8	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=3.2	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=3.3	Payषी वेतन
ordercheckpays.com/api.js?v=3.4	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=3.5	प्रकार
ordercheckpays.com/api.js?v=3.6	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=3.7	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	पेपल
ordercheckpays.com/api.js?v=4.0	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=4.1	अधिकृत करा.नेट
ordercheckpays.com/api.js?v=4.2	Payषी वेतन
ordercheckpays.com/api.js?v=4.3	अधिकृत करा.नेट
reactjsapi.com/api.js?v=0.1.0	अधिकृत करा.नेट
reactjsapi.com/api.js?v=0.1.1	पेपल
reactjsapi.com/api.js?v=4.1.2	चकमक
reactjsapi.com/api.js?v=4.1.4	पेपल
reactjsapi.com/api.js?v=4.1.5	Payषी वेतन
reactjsapi.com/api.js?v=4.1.51	Verisign
reactjsapi.com/api.js?v=4.1.6	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.1.7	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.1.8	प्रकार
reactjsapi.com/api.js?v=4.1.9	फॅट झेब्रा
reactjsapi.com/api.js?v=4.2.0	Payषी वेतन
reactjsapi.com/api.js?v=4.2.1	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.2.2	प्रथम डेटा ग्लोबल गेटवे
reactjsapi.com/api.js?v=4.2.3	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.2.4	eWAY रॅपिड
reactjsapi.com/api.js?v=4.2.5	अ‍ॅडियन
reactjsapi.com/api.js?v=4.2.7	पेपल
reactjsapi.com/api.js?v=4.2.8	QuickBooks व्यापारी सेवा
reactjsapi.com/api.js?v=4.2.9	Verisign
reactjsapi.com/api.js?v=4.2.91	Payषी वेतन
reactjsapi.com/api.js?v=4.2.92	Verisign
reactjsapi.com/api.js?v=4.2.94	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.3.97	अधिकृत करा.नेट
reactjsapi.com/api.js?v=4.5	Payषी वेतन
reactjsapi.com/react.js	अधिकृत करा.नेट
sydneysalonsupplies.com/gtm.js	eWAY रॅपिड
tagsmediaget.com/react.js	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	पेपल
tagstracking.com/tag.js?v=2.1.5	सायबर स्रोत
tagstracking.com/tag.js?v=2.1.7	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.1.8	Payषी वेतन
tagstracking.com/tag.js?v=2.1.9	Realex
tagstracking.com/tag.js?v=2.2.0	सायबर स्रोत
tagstracking.com/tag.js?v=2.2.1	पेपल
tagstracking.com/tag.js?v=2.2.2	पेपल
tagstracking.com/tag.js?v=2.2.3	पेपल
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	eWAY रॅपिड
tagstracking.com/tag.js?v=2.2.7	Payषी वेतन
tagstracking.com/tag.js?v=2.2.8	Payषी वेतन
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.3.1	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.3.2	प्रथम डेटा ग्लोबल गेटवे
tagstracking.com/tag.js?v=2.3.3	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.3.4	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.3.5	मोनेरिस
tagstracking.com/tag.js?v=2.3.6	अधिकृत करा.नेट
tagstracking.com/tag.js?v=2.3.8	पेपल

पासवर्ड स्निफर

साइटच्या क्लायंटच्या बाजूने काम करणाऱ्या JavaScript स्निफरचा एक फायदा म्हणजे त्यांची अष्टपैलुत्व: साइटवर एम्बेड केलेला दुर्भावनापूर्ण कोड कोणत्याही प्रकारचा डेटा चोरू शकतो, मग तो पेमेंट डेटा असो किंवा वापरकर्ता खात्याचा लॉगिन आणि पासवर्ड असो. Group-IB तज्ञांना ReactGet कुटुंबातील स्निफरचा नमुना सापडला, जो साइट वापरकर्त्यांचे ईमेल पत्ते आणि पासवर्ड चोरण्यासाठी डिझाइन केलेले आहे.

इमेजआयडी स्निफरसह छेदनबिंदू

एका संक्रमित स्टोअरच्या विश्लेषणादरम्यान, असे आढळून आले की त्याची वेबसाइट दोनदा संक्रमित झाली आहे: ReactGet फॅमिली स्निफरच्या दुर्भावनापूर्ण कोड व्यतिरिक्त, इमेजआयडी फॅमिली स्निफरचा कोड आढळला. हा ओव्हरलॅप हा पुरावा असू शकतो की दोन्ही स्निफरमागील ऑपरेटर दुर्भावनापूर्ण कोड इंजेक्ट करण्यासाठी समान तंत्र वापरतात.

युनिव्हर्सल स्निफर

ReactGet स्निफर इन्फ्रास्ट्रक्चरशी संबंधित डोमेन नावांपैकी एकाच्या विश्लेषणातून असे दिसून आले की त्याच वापरकर्त्याने इतर तीन डोमेन नावांची नोंदणी केली होती. या तीन डोमेनने वास्तविक जीवनातील वेबसाइट्सच्या डोमेनचे अनुकरण केले आणि ते पूर्वी स्निफर होस्ट करण्यासाठी वापरले जात होते. तीन वैध साइट्सच्या कोडचे विश्लेषण करताना, एक अज्ञात स्निफर आढळला आणि पुढील विश्लेषणात असे दिसून आले की ती ReactGet स्निफरची सुधारित आवृत्ती होती. स्निफरच्या या कुटुंबाच्या सर्व पूर्वी परीक्षण केलेल्या आवृत्त्या एकाच पेमेंट सिस्टमच्या उद्देशाने होत्या, म्हणजेच प्रत्येक पेमेंट सिस्टमला स्निफरची एक विशेष आवृत्ती आवश्यक होती. तथापि, या प्रकरणात, स्निफरची एक सार्वत्रिक आवृत्ती सापडली जी ऑनलाइन पेमेंट करण्यासाठी 15 भिन्न पेमेंट सिस्टम आणि ई-कॉमर्स साइट्सच्या मॉड्यूलशी संबंधित फॉर्ममधून माहिती चोरण्यास सक्षम आहे.

म्हणून, कामाच्या सुरूवातीस, स्निफरने पीडिताची वैयक्तिक माहिती असलेले मूलभूत फॉर्म फील्ड शोधले: पूर्ण नाव, भौतिक पत्ता, फोन नंबर.

नंतर स्निफरने वेगवेगळ्या पेमेंट सिस्टम आणि ऑनलाइन पेमेंट मॉड्यूल्सशी संबंधित 15 भिन्न उपसर्ग शोधले.

पुढे, पीडिताचा वैयक्तिक डेटा आणि पेमेंट माहिती एकत्रितपणे गोळा केली गेली आणि आक्रमणकर्त्याद्वारे नियंत्रित साइटवर पाठवली गेली: या विशिष्ट प्रकरणात, दोन वेगवेगळ्या हॅक केलेल्या साइट्सवर असलेल्या सार्वत्रिक ReactGet स्निफरच्या दोन आवृत्त्या सापडल्या. तथापि, दोन्ही आवृत्त्यांनी चोरीचा डेटा एकाच हॅक केलेल्या साइटवर पाठविला zoobashop.com.

स्निफरने पीडिताची देय माहिती असलेली फील्ड शोधण्यासाठी वापरलेल्या उपसर्गांच्या विश्लेषणामुळे आम्हाला हे निर्धारित करण्याची अनुमती मिळाली की हा स्निफर नमुना खालील पेमेंट सिस्टमसाठी आहे:

• अधिकृत करा.नेट
• Verisign
• प्रथम डेटा
• USAePay
• प्रकार
• पेपल
• ANZ eGate
• ब्रान्ट्री
• डेटाकॅश (मास्टरकार्ड)
• Realex पेमेंट्स
• PsiGate
• हार्टलँड पेमेंट सिस्टम

पेमेंट माहिती चोरण्यासाठी कोणती साधने वापरली जातात?

हल्लेखोरांच्या पायाभूत सुविधांच्या विश्लेषणादरम्यान सापडलेले पहिले साधन, बँक कार्डच्या चोरीसाठी जबाबदार असलेल्या दुर्भावनापूर्ण स्क्रिप्ट्स अस्पष्ट करण्यासाठी वापरले जाते. हल्लेखोराच्या एका होस्टवर प्रोजेक्टची CLI वापरणारी बॅश स्क्रिप्ट सापडली javascript-obfuscator स्निफर कोडची अस्पष्टता स्वयंचलित करण्यासाठी.

दुसरे शोधलेले साधन मुख्य स्निफर लोड करण्यासाठी जबाबदार कोड व्युत्पन्न करण्यासाठी डिझाइन केलेले आहे. हे साधन JavaScript कोड व्युत्पन्न करते जे वापरकर्ता पेमेंट पृष्ठावर आहे की नाही हे स्ट्रिंगसाठी वापरकर्त्याचा वर्तमान पत्ता शोधून तपासते. चेकआऊट, कार्ट आणि असेच, आणि परिणाम सकारात्मक असल्यास, कोड आक्रमणकर्त्यांच्या सर्व्हरवरून मुख्य स्निफर लोड करतो. दुर्भावनापूर्ण क्रियाकलाप लपवण्यासाठी, पेमेंट पृष्ठ निश्चित करण्यासाठी चाचणी ओळींसह सर्व ओळी, तसेच स्निफरची लिंक, वापरून एन्कोड केल्या आहेत बेस 64.

फिशिंग हल्ले

हल्लेखोरांच्या नेटवर्क इन्फ्रास्ट्रक्चरच्या विश्लेषणातून असे दिसून आले आहे की लक्ष्यित ऑनलाइन स्टोअरच्या प्रशासकीय पॅनेलमध्ये प्रवेश मिळविण्यासाठी गुन्हेगारी गट अनेकदा फिशिंगचा वापर करतो. हल्लेखोर एक डोमेन नोंदणी करतात जे दृष्यदृष्ट्या स्टोअरच्या डोमेनसारखे असते आणि नंतर त्यावर बनावट Magento प्रशासन पॅनेल लॉगिन फॉर्म तैनात करतात. यशस्वी झाल्यास, आक्रमणकर्त्यांना Magento CMS च्या प्रशासकीय पॅनेलमध्ये प्रवेश मिळेल, जे त्यांना वेबसाइट घटक संपादित करण्याची आणि क्रेडिट कार्ड डेटा चोरण्यासाठी स्निफर लागू करण्याची संधी देते.

पायाभूत सुविधा

डोमेन	शोध/दिसण्याची तारीख
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

G-Analytics कुटुंब

स्निफरच्या या कुटुंबाचा वापर ऑनलाइन स्टोअरमधून ग्राहक कार्ड चोरण्यासाठी केला जातो. समूहाने वापरलेले पहिले डोमेन नाव एप्रिल 2016 मध्ये नोंदणीकृत झाले होते, जे असे सूचित करू शकते की गटाने 2016 च्या मध्यात क्रियाकलाप सुरू केला.

सध्याच्या मोहिमेमध्ये, गट डोमेन नावांचा वापर करतो जे वास्तविक जीवनातील सेवांचे अनुकरण करतात, जसे की Google Analytics आणि jQuery, कायदेशीर स्क्रिप्ट आणि डोमेन नावांप्रमाणेच कायदेशीर स्क्रिप्टसह स्निफरच्या क्रियाकलापांवर मुखवटा घालतात. Magento CMS चालवणाऱ्या साइटवर हल्ला करण्यात आला.

ऑनलाइन स्टोअरच्या कोडमध्ये G-Analytics कसे लागू केले जाते

वापरकर्त्याची देय माहिती चोरण्यासाठी विविध पद्धतींचा वापर करणे हे या कुटुंबाचे वैशिष्ट्य आहे. साइटच्या क्लायंट साइडमध्ये JavaScript कोडच्या क्लासिक इंजेक्शन व्यतिरिक्त, गुन्हेगारी गटाने साइटच्या सर्व्हर बाजूला कोड इंजेक्शन तंत्र देखील वापरले, म्हणजे वापरकर्त्याने प्रविष्ट केलेल्या डेटावर प्रक्रिया करणार्‍या PHP स्क्रिप्ट. हे तंत्र धोकादायक आहे कारण ते तृतीय-पक्ष संशोधकांना दुर्भावनापूर्ण कोड शोधणे कठीण करते. ग्रुप-आयबी तज्ञांनी साइटच्या PHP कोडमध्ये एम्बेड केलेल्या स्निफरची आवृत्ती शोधली, गेट म्हणून डोमेन वापरून dittm.org.

स्निफरची सुरुवातीची आवृत्ती देखील सापडली जी चोरी केलेला डेटा गोळा करण्यासाठी समान डोमेन वापरते dittm.org, परंतु ही आवृत्ती ऑनलाइन स्टोअरच्या क्लायंट बाजूला स्थापनेसाठी आहे.

या गटाने नंतर आपली रणनीती बदलली आणि दुर्भावनापूर्ण क्रियाकलाप आणि क्लृप्ती लपवण्यावर अधिक लक्ष केंद्रित करण्यास सुरुवात केली.

2017 च्या सुरुवातीला, गटाने डोमेन वापरण्यास सुरुवात केली jquery-js.com, jQuery साठी CDN म्हणून मुखवटा घालणे: आक्रमणकर्त्यांच्या साइटवर जाताना, वापरकर्त्यास कायदेशीर साइटवर पुनर्निर्देशित केले जाते jquery.com.

आणि 2018 च्या मध्यात, गटाने डोमेन नाव स्वीकारले g-analytics.com आणि स्निफरच्या क्रियाकलापांना कायदेशीर Google Analytics सेवा म्हणून वेष करण्यास सुरुवात केली.

आवृत्ती विश्लेषण

स्निफर कोड संचयित करण्यासाठी वापरल्या जाणार्‍या डोमेनच्या विश्लेषणादरम्यान, असे आढळून आले की साइटमध्ये मोठ्या संख्येने आवृत्त्या आहेत, ज्या अस्पष्टतेच्या उपस्थितीत भिन्न आहेत, तसेच लक्ष विचलित करण्यासाठी फाईलमध्ये जोडलेल्या अगम्य कोडची उपस्थिती किंवा अनुपस्थिती आहे. आणि दुर्भावनापूर्ण कोड लपवा.

साइटवर एकूण jquery-js.com स्निफरच्या सहा आवृत्त्या ओळखल्या गेल्या. हे स्निफर चोरलेला डेटा स्निफरच्या वेबसाइटवर असलेल्या पत्त्यावर पाठवतात: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

नंतर डोमेन g-analytics.com, 2018 च्या मध्यापासून हल्ल्यांमध्ये गटाने वापरलेले, अधिक स्निफरसाठी भांडार म्हणून काम करते. एकूण, स्निफरच्या 16 भिन्न आवृत्त्या सापडल्या. या प्रकरणात, चोरीला गेलेला डेटा पाठवण्याचे गेट इमेज फॉरमॅटची लिंक म्हणून वेशात होते जीआयएफ: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

चोरी झालेल्या डेटाची कमाई

गुन्हेगारी गट विशेषत: तयार केलेल्या भूमिगत स्टोअरद्वारे कार्ड विकून चोरी केलेल्या डेटाची कमाई करतो जे कार्डर्सना सेवा प्रदान करते. हल्लेखोरांनी वापरलेल्या डोमेनच्या विश्लेषणाने आम्हाला ते निर्धारित करण्याची अनुमती दिली google-analytics.cm डोमेन सारख्याच वापरकर्त्याने नोंदणी केली होती cardz.vc. डोमेन cardz.vc चोरलेले बँक कार्ड कार्डसर्फ्स (फ्लायसर्फ्स) विकणार्‍या स्टोअरचा संदर्भ देते, ज्याने स्निफर वापरून चोरलेली बँक कार्ड विकणारे स्टोअर म्हणून अल्फाबे या भूमिगत ट्रेडिंग प्लॅटफॉर्मच्या क्रियाकलापांच्या काळात लोकप्रियता मिळवली.

डोमेनचे विश्लेषण करत आहे analytical.is, चोरलेला डेटा गोळा करण्यासाठी स्निफर्सद्वारे वापरल्या जाणार्‍या डोमेनच्या समान सर्व्हरवर स्थित, Group-IB तज्ञांनी कुकी स्टीलर लॉग असलेली फाइल शोधली, जी नंतर विकसकाने सोडून दिली आहे असे दिसते. लॉगमधील एका नोंदीमध्ये डोमेन आहे iozoz.com, जे यापूर्वी 2016 मध्ये सक्रिय असलेल्या एका स्निफरमध्ये वापरले गेले होते. संभाव्यतः, हे डोमेन पूर्वी आक्रमणकर्त्याने स्निफर वापरून चोरलेली कार्डे गोळा करण्यासाठी वापरले होते. हे डोमेन ईमेल पत्त्यावर नोंदणीकृत होते [ईमेल संरक्षित], जे डोमेन नोंदणी करण्यासाठी देखील वापरले जात होते cardz.su и cardz.vc, कार्डिंग स्टोअर कार्डसर्फशी संबंधित.

प्राप्त डेटाच्या आधारे, असे गृहीत धरले जाऊ शकते की स्निफरचे G-Analytics कुटुंब आणि कार्डसर्फ विकणारे भूमिगत स्टोअर त्याच लोकांद्वारे व्यवस्थापित केले जाते आणि स्निफरचा वापर करून चोरलेली बँक कार्डे विकण्यासाठी स्टोअरचा वापर केला जातो.

पायाभूत सुविधा

डोमेन	शोध/दिसण्याची तारीख
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytical.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
analytical.is	28.12.2018
googlc-analytics.cm	17.01.2019

इलम कुटुंब

Illum हे स्निफरचे एक कुटुंब आहे ज्याचा वापर Magento CMS चालवणाऱ्या ऑनलाइन स्टोअरवर हल्ला करण्यासाठी केला जातो. दुर्भावनापूर्ण कोड सादर करण्याव्यतिरिक्त, या स्निफरचे ऑपरेटर संपूर्ण बनावट पेमेंट फॉर्मचा परिचय देखील वापरतात जे हल्लेखोरांद्वारे नियंत्रित गेट्सवर डेटा पाठवतात.

या स्निफरच्या ऑपरेटरद्वारे वापरल्या जाणार्‍या नेटवर्क इन्फ्रास्ट्रक्चरचे विश्लेषण करताना, मोठ्या संख्येने दुर्भावनापूर्ण स्क्रिप्ट, शोषण, बनावट पेमेंट फॉर्म, तसेच प्रतिस्पर्ध्यांकडून दुर्भावनापूर्ण स्निफरसह उदाहरणांचा संग्रह लक्षात घेतला गेला. गटाद्वारे वापरलेल्या डोमेन नावांच्या दिसण्याच्या तारखांच्या माहितीच्या आधारे, असे मानले जाऊ शकते की मोहीम 2016 च्या शेवटी सुरू झाली.

ऑनलाइन स्टोअरच्या कोडमध्ये Illum कसे लागू केले जाते

शोधलेल्या स्निफरच्या पहिल्या आवृत्त्या थेट तडजोड केलेल्या साइटच्या कोडमध्ये एम्बेड केल्या होत्या. कडे चोरीचा डेटा पाठवला होता cdn.illum[.]pw/records.php, वापरून गेट एन्कोड केले होते बेस 64.

नंतर, स्निफरची पॅकेज केलेली आवृत्ती शोधली गेली जी भिन्न गेट वापरते - records.nstatistics[.]com/records.php.

मते अहवाल विलेम डी ग्रूट, त्याच यजमानाचा वापर स्निफरमध्ये केला गेला होता, जो लागू झाला होता स्टोअर वेबसाइट, जर्मन राजकीय पक्ष CSU च्या मालकीचे.

हल्लेखोरांच्या वेबसाइटचे विश्लेषण

ग्रुप-आयबी तज्ञांनी या गुन्हेगारी गटाने साधने साठवण्यासाठी आणि चोरीची माहिती गोळा करण्यासाठी वापरलेल्या वेबसाइटचा शोध घेतला आणि त्याचे विश्लेषण केले.

हल्लेखोरांच्या सर्व्हरवर सापडलेल्या साधनांमध्ये लिनक्स OS मधील विशेषाधिकार वाढवण्यासाठी स्क्रिप्ट आणि शोषण होते: उदाहरणार्थ, माईक झूमॅकने विकसित केलेली लिनक्स प्रिव्हिलेज एस्केलेशन चेक स्क्रिप्ट, तसेच CVE-2009-1185 साठी शोषण.

हल्लेखोरांनी ऑनलाइन स्टोअरवर हल्ला करण्यासाठी थेट दोन कारनामे वापरले: पहिला मध्ये दुर्भावनायुक्त कोड इंजेक्ट करण्यास सक्षम core_config_data CVE-2016-4010 चा वापर करून, दुसरा CMS Magento साठी प्लगइनमधील RCE असुरक्षिततेचे शोषण करते, ज्यामुळे अनियंत्रित कोड असुरक्षित वेब सर्व्हरवर कार्यान्वित केला जाऊ शकतो.

तसेच, सर्व्हरच्या विश्लेषणादरम्यान, स्निफर आणि बनावट पेमेंट फॉर्मचे विविध नमुने सापडले, ज्याचा वापर हल्लेखोरांनी हॅक केलेल्या साइटवरून पेमेंट माहिती गोळा करण्यासाठी केला. तुम्ही खालील सूचीमधून पाहू शकता की, प्रत्येक हॅक केलेल्या साइटसाठी काही स्क्रिप्ट वैयक्तिकरित्या तयार केल्या गेल्या होत्या, तर काही CMS आणि पेमेंट गेटवेसाठी सार्वत्रिक उपाय वापरला गेला होता. उदाहरणार्थ, स्क्रिप्ट segapay_standart.js и segapay_onpage.js सेज पे पेमेंट गेटवे वापरून साइटवर अंमलबजावणीसाठी डिझाइन केलेले.

विविध पेमेंट गेटवेसाठी स्क्रिप्टची सूची

स्क्रिप्ट	प्रदानाची द्वारमार्गिका
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolengi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

होस्ट आता पेमेंट करा[.]tk, स्क्रिप्टमध्ये गेट म्हणून वापरले जाते payment_forminsite.js, म्हणून शोधले गेले subjectAltName CloudFlare सेवेशी संबंधित अनेक प्रमाणपत्रांमध्ये. याव्यतिरिक्त, होस्टमध्ये एक स्क्रिप्ट होती evil.js. स्क्रिप्टच्या नावानुसार, ते CVE-2016-4010 च्या शोषणाचा भाग म्हणून वापरले जाऊ शकते, ज्यामुळे CMS Magento चालवणाऱ्या साइटच्या फूटरमध्ये दुर्भावनापूर्ण कोड इंजेक्ट करणे शक्य आहे. यजमानाने ही लिपी गेट म्हणून वापरली request.requestnet[.]tkहोस्ट सारखेच प्रमाणपत्र वापरत आहे आता पेमेंट करा[.]tk.

बनावट पेमेंट फॉर्म

खालील आकृती कार्ड डेटा प्रविष्ट करण्यासाठी फॉर्मचे उदाहरण दर्शवते. हा फॉर्म ऑनलाइन स्टोअरमध्ये घुसून कार्ड डेटा चोरण्यासाठी वापरला जात होता.

खालील आकृती बनावट PayPal पेमेंट फॉर्मचे उदाहरण दर्शवते ज्याचा वापर हल्लेखोरांनी या पेमेंट पद्धतीसह साइट्समध्ये घुसखोरी करण्यासाठी केला होता.

पायाभूत सुविधा

डोमेन	शोध/दिसण्याची तारीख
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

कॉफीमोक्को कुटुंब

ऑनलाइन स्टोअर वापरकर्त्यांकडून बँक कार्ड चोरण्यासाठी डिझाइन केलेले स्निफर्सचे CoffeMokko कुटुंब, किमान मे 2017 पासून वापरात आहे. संभाव्यतः, स्निफरच्या या कुटुंबाचे ऑपरेटर गुन्हेगारी गट गट 1 आहेत, 2016 मध्ये RiskIQ तज्ञांनी वर्णन केले आहे. Magento, OpenCart, WordPress, osCommerce आणि Shopify सारख्या CMS चालवणाऱ्या साइटवर हल्ला करण्यात आला.

ऑनलाइन स्टोअरच्या कोडमध्ये CoffeMokko कसे लागू केले जाते

या कुटुंबातील ऑपरेटर प्रत्येक संसर्गासाठी अद्वितीय स्निफर तयार करतात: स्निफर फाइल निर्देशिकेत असते. Src किंवा js हल्लेखोरांच्या सर्व्हरवर. साइट कोडमध्ये अंतर्भूत करणे स्निफरच्या थेट दुव्याद्वारे केले जाते.

स्निफर कोड फॉर्म फील्डची नावे हार्डकोड करतो ज्यामधून डेटा चोरी करणे आवश्यक आहे. वापरकर्त्याच्या वर्तमान पत्त्यासह कीवर्डची सूची तपासून वापरकर्ता पेमेंट पृष्ठावर आहे की नाही हे देखील स्निफर तपासतो.

स्निफरच्या काही शोधलेल्या आवृत्त्या अस्पष्ट होत्या आणि त्यामध्ये एक एन्क्रिप्टेड स्ट्रिंग होती ज्यामध्ये संसाधनांचा मुख्य अॅरे संग्रहित केला गेला होता: त्यात विविध पेमेंट सिस्टमसाठी फॉर्म फील्डची नावे तसेच चोरीचा डेटा पाठवायचा गेट पत्ता समाविष्ट होता.

चोरलेल्या पेमेंटची माहिती हल्लेखोरांच्या सर्व्हरवर स्क्रिप्टवर पाठवली गेली /savePayment/index.php किंवा /tr/index.php. संभाव्यतः, ही स्क्रिप्ट गेटमधून मुख्य सर्व्हरवर डेटा पाठविण्यासाठी वापरली जाते, जी सर्व स्निफरकडून डेटा एकत्रित करते. प्रसारित डेटा लपविण्यासाठी, पीडिताची सर्व देयक माहिती वापरून एन्क्रिप्ट केली जाते बेस 64, आणि नंतर अनेक वर्ण बदल घडतात:

• "ई" वर्ण ":" ने बदलला आहे
• "w" चिन्ह "+" ने बदलले आहे
• "o" वर्ण "%" ने बदलला आहे
• "d" वर्ण "#" ने बदलला आहे
• "a" वर्ण "-" ने बदलला आहे
• "7" चे चिन्ह "^" ने बदलले आहे
• "h" अक्षर "_" ने बदलले आहे
• "T" चिन्ह "@" ने बदलले आहे
• "0" वर्ण "/" ने बदलला आहे
• "Y" वर्ण "*" ने बदलला आहे

वापरून एन्कोड केलेल्या वर्ण प्रतिस्थापनांचा परिणाम म्हणून बेस 64 उलट रूपांतरण केल्याशिवाय डेटा डीकोड केला जाऊ शकत नाही.

स्निफर कोडचा एक तुकडा जो अस्पष्ट झाला नाही तो असा दिसतो:

पायाभूत सुविधांचे विश्लेषण

सुरुवातीच्या मोहिमांमध्ये, हल्लेखोरांनी कायदेशीर ऑनलाइन शॉपिंग साइट्सप्रमाणेच डोमेन नावांची नोंदणी केली. त्यांचे डोमेन वैध चिन्ह किंवा दुसर्‍या TLD पेक्षा वेगळे असू शकते. नोंदणीकृत डोमेनचा वापर स्निफर कोड संचयित करण्यासाठी केला जात होता, ज्याची लिंक स्टोअर कोडमध्ये एम्बेड केलेली होती.

या गटाने लोकप्रिय jQuery प्लगइनची आठवण करून देणारी डोमेन नावे देखील वापरली (slickjs[.]org प्लगइन वापरणाऱ्या साइटसाठी slick.js), पेमेंट गेटवे (sagecdn[.]org सेज पे पेमेंट सिस्टम वापरणाऱ्या साइट्ससाठी).

नंतर, गटाने डोमेन तयार करण्यास सुरुवात केली ज्यांच्या नावांचा स्टोअरच्या डोमेनशी किंवा स्टोअरच्या थीमशी काहीही संबंध नाही.

प्रत्येक डोमेन एका साइटशी संबंधित आहे ज्यावर निर्देशिका तयार केली गेली होती /js किंवा / src. या निर्देशिकेत स्निफर स्क्रिप्ट संग्रहित केल्या होत्या: प्रत्येक नवीन संसर्गासाठी एक स्निफर. स्निफर थेट लिंकद्वारे वेबसाइट कोडमध्ये एम्बेड केले गेले होते, परंतु क्वचित प्रसंगी, आक्रमणकर्त्यांनी वेबसाइट फायलींपैकी एक सुधारित केला आणि त्यात दुर्भावनापूर्ण कोड जोडला.

कोड विश्लेषण

प्रथम गोंधळ अल्गोरिदम

या कुटुंबातील स्निफरच्या काही शोधलेल्या नमुन्यांमध्ये, कोड अस्पष्ट होता आणि स्निफरला काम करण्यासाठी आवश्यक असलेला एनक्रिप्टेड डेटा होता: विशेषतः, स्निफर गेटचा पत्ता, पेमेंट फॉर्म फील्डची सूची आणि काही प्रकरणांमध्ये, बनावट कोड पेमेंट फॉर्म. फंक्शनमधील कोडमध्ये, संसाधने वापरून एनक्रिप्ट केली गेली एक्सओआर त्याच फंक्शनला वितर्क म्हणून पास केलेल्या की द्वारे.

योग्य की सह स्ट्रिंग डिक्रिप्ट करून, प्रत्येक नमुन्यासाठी अद्वितीय, तुम्ही विभाजक वर्णाने विभक्त केलेल्या स्निफर कोडमधील सर्व स्ट्रिंग असलेली स्ट्रिंग मिळवू शकता.

दुसरा गोंधळ अल्गोरिदम

या कुटुंबातील स्निफरच्या नंतरच्या नमुन्यांमध्ये, एक वेगळी अस्पष्ट यंत्रणा वापरली गेली: या प्रकरणात, डेटा स्वयं-लिखित अल्गोरिदम वापरून कूटबद्ध केला गेला. स्निफर ऑपरेट करण्यासाठी आवश्यक एनक्रिप्टेड डेटा असलेली स्ट्रिंग डिक्रिप्शन फंक्शनला युक्तिवाद म्हणून पास केली गेली.

ब्राउझर कन्सोल वापरून, तुम्ही एनक्रिप्ट केलेला डेटा डिक्रिप्ट करू शकता आणि स्निफर संसाधने असलेली अॅरे मिळवू शकता.

सुरुवातीच्या MageCart हल्ल्यांचे कनेक्शन

चोरीचा डेटा गोळा करण्यासाठी गेटवे म्हणून गटाने वापरलेल्या डोमेनपैकी एका डोमेनच्या विश्लेषणादरम्यान, असे आढळून आले की या डोमेनने क्रेडिट कार्ड चोरीसाठी पायाभूत सुविधा होस्ट केल्या आहेत, पहिल्या गटांपैकी एक, ग्रुप 1 द्वारे वापरल्या जाणार्‍या, शोधले RiskIQ तज्ञांद्वारे.

स्निफरच्या कॉफेमोक्को कुटुंबाच्या होस्टवर दोन फायली सापडल्या:

• mage.js — गेट अॅड्रेससह ग्रुप 1 स्निफर कोड असलेली फाइल js-cdn.link
• mag.php — PHP स्क्रिप्ट स्निफरद्वारे चोरलेला डेटा गोळा करण्यासाठी जबाबदार आहे

mage.js फाइलची सामग्री
हे देखील निर्धारित करण्यात आले होते की स्निफर्सच्या CoffeMokko कुटुंबामागील गटाने वापरलेले सर्वात जुने डोमेन 17 मे 2017 रोजी नोंदणीकृत होते:

• link-js[.]लिंक
• info-js[.]लिंक
• ट्रॅक-जेएस[.]लिंक
• नकाशा-js[.]लिंक
• smart-js[.]लिंक

या डोमेन नावांचे स्वरूप 1 च्या हल्ल्यांमध्ये वापरल्या गेलेल्या गट 2016 डोमेन नावांशी जुळते.

शोधलेल्या तथ्यांच्या आधारे, असे गृहीत धरले जाऊ शकते की कॉफेमोक्को स्निफर्सचे ऑपरेटर आणि गुन्हेगारी गट गट 1 यांच्यात संबंध आहे. बहुधा, कॉफेमोक्को ऑपरेटर्सनी कार्ड चोरण्यासाठी त्यांच्या पूर्ववर्तींकडून साधने आणि सॉफ्टवेअर घेतले असावेत. तथापि, स्निफर्सच्या कॉफेमोक्को कुटुंबाच्या वापरामागील गुन्हेगारी गट हेच लोक असण्याची शक्यता आहे ज्यांनी गट 1 हल्ले केले. गुन्हेगारी गटाच्या क्रियाकलापांबद्दलचा पहिला अहवाल प्रकाशित झाल्यानंतर, त्यांची सर्व डोमेन नावे होती. अवरोधित केले आणि साधनांचा तपशीलवार अभ्यास केला आणि वर्णन केले. गटाला ब्रेक घेण्यास भाग पाडले गेले, त्याची अंतर्गत साधने परिष्कृत केली गेली आणि त्याचे हल्ले चालू ठेवण्यासाठी स्निफर कोड पुन्हा लिहिला गेला आणि तो सापडला नाही.

पायाभूत सुविधा

डोमेन	शोध/दिसण्याची तारीख
link-js.link	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
security-payment.su	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
parks.su	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

स्त्रोत: www.habr.com