Vier JavaScript-sniffers die je opwachten in online winkels

Bijna iedereen van ons maakt gebruik van online winkels, en dat betekent dat we vroeg of laat het risico lopen slachtoffer te worden van JavaScript-sniffers — speciale code die kwaadwillenden op een site injecteren om gegevens van creditcards, adressen, gebruikersnamen en wachtwoorden te stelen.

Bijna 400.000 gebruikers van de website en mobiele applicatie van British Airways zijn al slachtoffer geworden van deze sniffers, evenals bezoekers van de Britse website van sportgigant FILA en de Amerikaanse ticketdistributeur Ticketmaster. Betalingssystemen zoals PayPal, Chase Paymenttech, USAePay en Moneris zijn ook geïnfecteerd.

Analist bij Threat Intelligence Group-IB Viktor Okorokov vertelt hoe sniffers in de code van een website worden geïnjecteerd om betalingsinformatie te stelen en over welke CRM-systemen ze zich richten.

„Verborgen bedreiging“

Het is zo gegaan dat JS-sniffers lange tijd onder de radar van antivirusanalisten zijn gebleven, terwijl banken en betalingssystemen ze niet als een ernstige dreiging beschouwden. En dat is volkomen onterecht. Experts van Group-IB hebben geanalyseerd 2440 geïnfecteerde online winkels, waarvan de bezoekers — in totaal ongeveer 1,5 miljoen mensen per dag — het risico liepen op compromittering. Onder de slachtoffers bevinden zich niet alleen gebruikers, maar ook online winkels, betalingssystemen en banken die gecompromitteerde kaarten hebben uitgegeven.

Rapport Group-IB was de eerste studie naar de darknet-markt van sniffers, hun infrastructuur en de monetisatie-methoden die hun makers miljoenen dollars opleveren. We hebben 38 families van sniffers ontdekt, waarvan er slechts 12 eerder bekend waren bij onderzoekers.

Laten we gedetailleerd stilstaan bij vier families van sniffers die tijdens het onderzoek zijn bestudeerd.

Familie ReactGet

Sniffers van de ReactGet-familie worden gebruikt voor het stelen van creditcardgegevens op online winkels. Een sniffer kan werken met een groot aantal verschillende betaalsystemen die op de site worden gebruikt: één waarde van de parameter komt overeen met één betaalsysteem, terwijl afzonderlijke ontdekte versies van de sniffer kunnen worden gebruikt voor het stelen van inloggegevens, evenals voor het stelen van creditcardgegevens uit betalingsformulieren van meerdere betaalsystemen tegelijk, zoals de zogenaamde universele sniffer. Het is vastgesteld dat aanvallers in sommige gevallen phishing-aanvallen uitvoeren op beheerders van online winkels om toegang te krijgen tot het beheerpaneel van de site.

De campagne met dit soort sniffers begon in mei 2017, waarbij sites onder beheer van CMS en platformen zoals Magento, Bigcommerce, Shopify werden aangevallen.

Hoe ReactGet in de code van een online winkel wordt opgenomen

Naast de ‘klassieke’ manier van het inbedden van een script via een link, maken de operators van sniffers uit de ReactGet-familie gebruik van een speciale techniek: met behulp van JavaScript-code wordt gecontroleerd of het huidige adres waar de gebruiker zich bevindt aan bepaalde criteria voldoet. De malware code wordt alleen uitgevoerd als de huidige URL een substring bevat. checkout of onestepcheckout, onepage/, out/onepag, checkout/one, ckout/one. Op deze manier wordt de sniffercode uitgevoerd op het moment dat de gebruiker naar de kassa gaat en betaling informatie in het formulier op de site invoert.

Deze sniffer gebruikt een ongewone techniek. De betalings- en persoonlijke gegevens van het slachtoffer worden samen verzameld, gecodeerd met behulp van base64, en de verkregen string wordt vervolgens als parameter gebruikt voor het verzenden van een verzoek naar de site van de aanvallers. Meestal imiteert het pad naar de gateway een JavaScript-bestand, bijvoorbeeld resp.js, data.js en dergelijke, maar ook links naar afbeeldingsbestanden worden gebruikt. GIF en JPG. Het bijzondere is dat de sniffer een afbeeldingsobject van 1 bij 1 pixel creëert en de eerder verkregen link als parameter gebruikt. src afbeeldingen. Dit betekent dat zo'n verzoek in het verkeer voor de gebruiker eruit zal zien als een verzoek om een gewone afbeelding. Een soortgelijke techniek werd gebruikt in de sniffers van het ImageID-familie. Bovendien wordt de techniek met een afbeelding van 1 bij 1 pixel in veel legitieme online-analysetools toegepast, wat de gebruiker ook kan misleiden.

Versie-analyse

Analyse van actieve domeinen die door ReactGet-sniffers worden gebruikt, heeft veel verschillende versies van deze familie sniffers aan het licht gebracht. De versies verschillen in de aanwezigheid of afwezigheid van obfuscatie, en bovendien is elke sniffer bedoeld voor een specifiek betalingssysteem dat betalingen met creditcards voor online winkels verwerkt. Door de waarde van de parameter die overeenkomt met het versienummer door te nemen, heeft het Group-IB-team een volledige lijst van beschikbare variaties van sniffers verkregen, en door de veldnamen van formulieren die elke sniffer in de paginacode zoekt, zijn de betalingssysteemdoelen van de sniffer bepaald.

Lijst van sniffers en de bijbehorende betalingssysteem

Wachtwoord sniffer

Een van de voordelen van JavaScript-sniffers die aan de clientzijde van de site werken, is de veelzijdigheid: de ingebedde schadelijke code is in staat om gegevens van elk type te stelen, of het nu gaat om betalingsgegevens of de gebruikersnaam en wachtwoord van een gebruikersaccount. Specialisten van Group-IB hebben een monster van een sniffer ontdekt die behoort tot de ReactGet-familie, ontworpen om e-mailadressen en wachtwoorden van gebruikers van de site te stelen.

Overlap met de ImageID-sniffer

Tijdens de analyse van een van de geïnfecteerde winkels werd vastgesteld dat de website twee keer was geïnfecteerd: naast de schadelijke code van de ReactGet-sniffer werd ook code van de ImageID-sniffer aangetroffen. Deze overlap kan een aanwijzing zijn dat de operators achter het gebruik van beide sniffers vergelijkbare technieken gebruiken om schadelijke code in te voeren.

Universele sniffer

Tijdens de analyse van een van de domeinnamen die gerelateerd zijn aan de infrastructuur van de ReactGet-sniffers, werd vastgesteld dat dezelfde gebruiker drie andere domeinnamen had geregistreerd. Deze drie domeinen imiteerden domeinen van daadwerkelijk bestaande websites en werden eerder gebruikt voor het hosten van sniffers. Bij de analyse van de code van de drie legitieme websites werd een onbekende sniffer ontdekt, en verdere analyse toonde aan dat dit een geavanceerde versie was van de ReactGet-sniffer. Alle eerder getrackte versies van sniffers uit deze familie waren gericht op één specifieke betalingsmethode, wat betekende dat voor elke betalingsmethode een speciale versie van de sniffer nodig was. In dit geval werd echter een universele versie van de sniffer ontdekt die in staat was om gegevens te stelen uit formulieren gerelateerd aan 15 verschillende betalingssystemen en e-commerce-modules voor het uitvoeren van online betalingen.

In het begin zocht de sniffer naar basisformuliervelden die persoonlijke informatie van het slachtoffer bevatten: volledige naam, fysiek adres, telefoonnummer.

Vervolgens zocht de sniffer naar meer dan 15 verschillende prefixen die corresponderen met verschillende betalingssystemen en modules voor online betalingen.

Daarna werden de persoonlijke gegevens van het slachtoffer en de betalingsinformatie samengevoegd en verzonden naar een door de aanvaller gecontroleerde website: in dit specifieke geval werden twee versies van de universele ReactGet-sniffer aangetroffen op twee verschillende gehackte websites. Beide versies verzonden echter de gestolen gegevens naar dezelfde gehackte website. zoobashop.com.

De analyse van de prefixen die door de sniffer werden gebruikt voor het zoeken naar velden met betalingsinformatie van het slachtoffer, maakte het mogelijk om vast te stellen dat dit monster van de sniffer gericht was op de volgende betalingssystemen:

• Authorize.Net
• Verisign
• First Data
• USAePay
• Stripe
• PayPal
• ANZ eGate
• Braintree
• DataCash (MasterCard)
• Realex Payments
• PsiGate
• Heartland Payment Systems

Welke hulpmiddelen worden gebruikt voor het stelen van betalingsinformatie

Het eerste hulpmiddel dat werd ontdekt tijdens de analyse van de infrastructuur van de aanvallers, is bedoeld voor het obfusceren van kwaadaardige scripts die verantwoordelijk zijn voor het stelen van bankkaarten. Op een van de hosts van de aanvallers werd een bash-script aangetroffen dat gebruikmaakt van de CLI van het project javascript-obfuscator voor de automatisering van de obfuscering van de code van de sniffers.

De tweede ontdekte tool is bedoeld voor het genereren van de code die verantwoordelijk is voor het laden van de hoofd-sniffer. Deze tool genereert JavaScript-code die controleert of de gebruiker zich op de betalingspagina bevindt door te zoeken naar specifieke teksten in het huidige adres van de gebruiker, checkout, winkelwagentje en zo verder, en als het resultaat positief is, laadt de code de hoofd-sniffer vanaf de servers van de aanvallers. Om schadelijke activiteiten te verbergen, zijn alle teksten, inclusief testteksten om de betalingspagina te identificeren, evenals de link naar de sniffer, gecodeerd met behulp van base64.

Phishingaanvallen

Tijdens de analyse van de netwerkstructuur van de aanvallers werd vastgesteld dat ze vaak phishing gebruiken om toegang te krijgen tot het beheerderspaneel van de doelgerichte online winkel. De aanvallers registreren een domein dat visueel lijkt op het domein van de winkel, en zetten vervolgens een vervalste inlogpagina voor het Magento beheerderspaneel op. Bij een succesvolle aanval krijgen de aanvallers toegang tot het CMS Magento-beheerderspaneel, wat hen in staat stelt om de componenten van de site te bewerken en een sniffer te integreren om kredietkaartgegevens te stelen.

Infrastructuur

Familie G-Analytics

Deze familie van sniffers wordt gebruikt om de kaarten van klanten van online winkels te stelen. De allereerste domeinnaam die door de groep werd geregistreerd, dateert uit april 2016, wat kan wijzen op het begin van de activiteiten van de groep in het midden van 2016.

In de huidige campagne gebruikt de groep domeinnamen die echte diensten imiteren, zoals Google Analytics en jQuery, waardoor de activiteiten van de sniffers worden gemaskeerd door legitieme scripts en domeinnamen die op legitieme lijken. Websites die draaien op CMS Magento zijn aangevallen.

Hoe G-Analytics wordt geïntegreerd in de code van de online winkel

Kenmerkend voor deze familie is het gebruik van verschillende methoden om de betaalinformatie van de gebruiker te stelen. Naast de klassieke injectie van JavaScript-code in de clientzijde van de website, maakte de criminele groep ook gebruik van de techniek van code-injectie in de serverzijde van de website, met name PHP-scripts die de door de gebruiker ingevoerde gegevens verwerken. Deze techniek is gevaarlijk omdat het de detectie van kwaadaardige code door externe onderzoekers bemoeilijkt. Specialisten van Group-IB ontdekten een versie van de sniffer die in de PHP-code van de website was geïnjecteerd, en die als gateway de domein dittm.org.

ook werd een vroegere versie van de sniffer gevonden, die voor het verzamelen van gestolen gegevens dezelfde domein gebruikte dittm.org, maar deze versie is bedoeld voor installatie aan de clientzijde van de online winkel.

Later veranderde de groep zijn tactiek en begon meer aandacht te besteden aan het verbergen van kwaadaardige activiteiten en camouflage.

Begin 2017 begon de groep het domein jquery-js.com, dat zich voordoet als een CDN voor jQuery: wanneer gebruikers de site van de misdadigers bezoeken, worden ze omgeleid naar de legitieme site jquery.com.

En halfweg 2018 nam de groep de domeinnaam g-analytics.com aan en begon de activiteiten van de sniffer te camoufleren onder de legitieme service van Google Analytics.

Versie-analyse

Bij de analyse van domeinen die werden gebruikt om sniffer-code op te slaan, bleek dat de site een groot aantal versies herbergde, die varieerden op basis van aanwezigheid van obfuscatie, evenals de aanwezigheid of afwezigheid van onbereikbare code die aan het bestand was toegevoegd om af te leiden en kwaadaardige code te verbergen.

In totaal zijn er op de site jquery-js.com zes versies van sniffer aangetroffen. De gestolen gegevens van deze sniffers worden verzonden naar een adres dat zich op dezelfde site bevindt als de sniffer zelf: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

Een latere domein g-analytics.com, gebruikt door de groep in aanvallen sinds midden 2018, dient als opslagplaats voor een groter aantal sniffers. In totaal zijn er 16 verschillende versies van de sniffer ontdekt. In dit geval was de gateway voor het verzenden van gestolen gegevens gecamoufleerd als een link naar een afbeelding in formaat GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
=1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

Monetisatie van gestolen gegevens

De criminele groep maakt gebruik van de gestolen gegevens door kaarten te verkopen via een speciaal opgerichte ondergrondse winkel die diensten verleent aan carders. Analyse van de domeinen die door de aanvallers worden gebruikt, heeft het mogelijk gemaakt om vast te stellen dat google-analytics.cm werd geregistreerd door dezelfde gebruiker als het domein cardz.vc. Domein cardz.vc verwijst naar de winkel voor gestolen bankkaarten Cardsurfs (Flysurfs), die populair werd in de tijd dat de ondergrondse marktplaats AlphaBay actief was als een winkel voor de verkoop van bankkaarten die met een sniffer waren gestolen.

Bij het analyseren van het domein analytic.is, gelegen op dezelfde server als de domeinen die door sniffers worden gebruikt om gestolen gegevens te verzamelen, ontdekten specialisten van Group-IB een bestand dat logboeken van een Cookie-stiller bevatte, dat blijkbaar later door de ontwikkelaar was verlaten. Een van de vermeldingen in het logboek bevatte het domein iozoz.com, dat eerder was gebruikt in een van de sniffers die actief waren in 2016. Het wordt verondersteld dat dit domein eerder door de aanvaller werd gebruikt om gestolen kaarten met een sniffer te verzamelen. Dit domein was geregistreerd op het e-mailadres kts241@gmail.com, dat ook was gebruikt voor de registratie van de domeinen cardz.su en cardz.vc, die verband houden met de carding-winkel Cardsurfs.

Op basis van de verkregen gegevens kan men veronderstellen dat de snifferfamilie G-Analytics en de ondergrondse winkel voor de verkoop van bankkaarten Cardsurfs door dezelfde personen worden beheerd, en dat de winkel wordt gebruikt voor de verkoop van bankkaarten die met een sniffer zijn gestolen.

Infrastructuur

Familie Illum

Illum is een familie van sniffers die wordt gebruikt voor aanvallen op online winkels die draaien op het CMS Magento. Naast het injecteren van kwaadaardige code gebruiken de operators van deze sniffer ook volledige valse betaalformulieren die gegevens naar door de aanvaller gecontroleerde gateways sturen.

Bij het analyseren van de netwerkstructuur die door de operators van deze sniffer wordt gebruikt, werd een groot aantal kwaadaardige scripts, exploits, valse betalingsformulieren en een verzameling voorbeelden van kwaadaardige concurrent-sniffers opgemerkt. Op basis van de informatie over de data waarop de domeinnamen die door de groep worden gebruikt, verschenen, kan worden aangenomen dat het begin van de campagne rond het einde van 2016 ligt.

Hoe Illum wordt geïmplementeerd in de code van online winkels

De eerste ontdekte versies van de sniffer werden rechtstreeks in de code van de gecompromitteerde site ingebed. De gestolen gegevens werden verzonden naar cdn.illum[.]pw/records.php, terwijl de gateway was gecodeerd met behulp van base64.

Later, a packaged version of the sniffer was discovered using a different gate - records.nstatistics[.]com/records.php.

Volgens report Willem de Groot, the same host was used in the sniffer that was deployed on the store's website, owned by the German political party CSU.

Analysis of the attackers' website

Group-IB specialists discovered and analyzed a website used by this criminal group for storing tools and collecting stolen information.

Among the tools found on the attackers' server were scripts and exploits for privilege escalation in Linux OS: for example, the Linux Privilege Escalation Check Script, developed by Mike Czumak, as well as an exploit for CVE-2009-1185.

Specifically for attacks on online stores, the attackers used two exploits: the first is capable of injecting malicious code into core_config_data through the exploitation of CVE-2016-4010, the second exploits an RCE vulnerability in plugins for the CMS Magento, allowing arbitrary code execution on the vulnerable web server.

Also, during the server analysis, various samples of sniffers and fake payment forms used by the attackers to collect payment information from compromised sites were found. As noted in the list below, some scripts were created individually for each compromised site, while a universal solution was used for certain CMS and payment gateways. For example, the scripts segapay_standart.js en segapay_onpage.js are intended for injection into websites using the Sage Pay payment gateway.

List of scripts for various payment gateways

Host paymentnow[.]tk, used as a gate in the script payment_forminsite.js, was discovered as subjectAltName in several certificates related to the CloudFlare service. In addition, a script evil.js. Based on the script's name, it could have been used in the exploitation of CVE-2016-4010, allowing malicious code to be injected into the footer of a website running CMS Magento. As a gate, this script was used by the host request.requestnet[.]tk, which uses the same certificate as the host paymentnow[.]tk.

Fake payment forms

Below is an example of a card data entry form. This form was used to inject into the online store's website and steal card data.

In de volgende afbeelding is een voorbeeld van een valse betalingsformulier van PayPal te zien, die door kwaadwillenden is gebruikt om zich op websites met deze betaalmethode te infiltreren.

Infrastructuur

CoffeMokko-familie

De CoffeMokko-sniffers, die zijn ontworpen voor het stelen van bankkaartgegevens van gebruikers van webwinkels, worden sinds mei 2017 minimaal gebruikt. Naar verluidt zijn de operators van deze snifferfamilie een criminele groep genaamd Group 1, die in 2016 door RiskIQ-specialisten is beschreven. Aanvallen hebben zich gericht op sites die worden beheerd door CMS zoals Magento, OpenCart, WordPress, osCommerce, Shopify.

Hoe CoffeMokko in de code van online winkels wordt geïnjecteerd

De operators van deze familie creëren unieke sniffers voor elke infectie: het snifferbestand bevindt zich in de directory src of js op de servers van de aanvallers. De injectie in de websitecode gebeurt via een directe link naar de sniffer.

In de code van de sniffer zijn de veldnamen van het formulier die moeten worden gestolen, hard gecodeerd. Ook controleert de sniffer of de gebruiker zich op de betalingspagina bevindt door de lijst met sleutelwoorden te vergelijken met het huidige adres van de gebruiker.

Sommige ontdekte versies van de sniffer waren obfuscated en bevatten een versleutelde string, waarin de belangrijkste array van bronnen werd opgeslagen: hierin stonden de veldnamen voor verschillende betalingssystemen, evenals het adres van de gate waarheen de gestolen gegevens moesten worden verzonden.

De gestolen betalingsinformatie werd naar een script op de servers van de aanvallers gestuurd via het pad /savePayment/index.php или /tr/index.php. Naar verluidt dient dit script voor het verzenden van gegevens van de gate naar de hoofdserver, die gegevens van alle sniffers consolideert. Om de verzonden gegevens te verbergen, worden alle betalingsinformatie van het slachtoffer gecodeerd met behulp van base64, waarna verschillende substituties van symbolen plaatsvinden:

• het symbool 'e' wordt vervangen door ':'
• het symbool 'w' wordt vervangen door '+'
• het symbool 'o' wordt vervangen door '%'
• het symbool 'd' wordt vervangen door '#'
• het symbool 'a' wordt vervangen door '-'
• het symbool '7' wordt vervangen door '^'
• het symbool 'h' wordt vervangen door '_'
• het symbool 'T' wordt vervangen door '@'
• het symbool '0' wordt vervangen door '/'
• het symbool 'Y' wordt vervangen door '*'

Als gevolg van de symboolvervanging is de gecodeerde data, verkregen met behulp van base64 onmogelijk te decoderen zonder een omgekeerde transformatie uit te voeren.

Dit is een fragment van de code van een sniffer, die niet geobfusceerd is:

Infrastructuuranalyse

In eerdere campagnes registreerden kwaadwillenden domeinnamen die leken op de domeinen van legitieme online winkels. Hun domein kon afwijken van het legitieme enkel door één teken of een andere TLD. Geregistreerde domeinen werden gebruikt om de sniffercode op te slaan, waarvan de link werd geïntegreerd in de code van de winkel.

Deze groep gebruikte ook domeinnamen die leken op de namen van populaire jQuery-plugins (slickjs[.]org voor websites die de plugin gebruiken slick.js), betalingsgateways (sagecdn[.]org voor websites die het betalingsysteem Sage Pay gebruiken).

Later begon de groep domeinen te creëren waarvan de naam niets te maken had met het domein van de winkel of de thematiek ervan.

Elke domein had een website, waarop een directory werd gemaakt /js of /src. In deze directory werden de scripts van de sniffers opgeslagen: één sniffer voor elke nieuwe besmetting. De sniffer werd in de code van de website geïntegreerd via een directe link, maar in zeldzame gevallen modificeerden de kwaadwillenden een van de bestanden van de website en voegden er schadelijke code aan toe.

Code-analyse

De eerste obfusceringsalgoritme

In sommige van de aangetroffen monsters van sniffers uit deze familie was de code geobfusceerd en bevatte deze versleutelde gegevens die noodzakelijk waren voor de werking van de sniffer: in het bijzonder, het adres van de sniffergateway, de lijst met velden van het betalingsformulier, en in sommige gevallen de code van het vervalste betalingsformulier. In de code binnen de functie waren de middelen versleuteld met behulp van XOR met een sleutel die als argument aan dezelfde functie werd doorgegeven.

Door de string met de bijbehorende sleutel, uniek voor elk monster, te ontcijferen, kan je een string krijgen die alle strings uit de sniffercode bevat, gescheiden door een scheidingsteken.

De tweede obfusceringsalgoritme

In latere monsters van deze sniffers werd een ander obfusceringsmechanisme gebruikt: in dit geval waren de gegevens versleuteld met behulp van een zelfgeschreven algoritme. De string die de versleutelde gegevens bevatte die nodig waren voor de werking van de sniffer, werd als argument van de ontcijferfunctie doorgegeven.

Met de browserconsole kunnen de versleutelde gegevens worden ontcijferd en kan een array worden verkregen die de middelen van de sniffer bevat.

Relatie met eerdere MageCart-aanvallen

Tijdens de analyse van een van de domeinen die door de groep werden gebruikt als poort voor het verzamelen van gestolen gegevens, werd vastgesteld dat op dit domein een infrastructuur is opgezet voor het stelen van creditcardgegevens, gelijk aan die welke werd gebruikt door Group 1 — een van de eerste groepen, gevonden door de specialisten van RiskIQ.

Op de host van de CoffeMokko-sniffers zijn twee bestanden aangetroffen:

• mage.js — een bestand met de code van de Group 1-sniffer met het poortadres js-cdn.link
• mag.php — een PHP-script dat verantwoordelijk is voor het verzamelen van door de sniffer gestolen gegevens

Содержимое файла mage.js
Er werd ook vastgesteld dat de vroegste domeinen die door de groep achter de CoffeMokko-sniffers werden gebruikt, zijn geregistreerd op 17 mei 2017:

• link-js[.]link
• info-js[.]link
• track-js[.]link
• map-js[.]link
• smart-js[.]link

Het formaat van deze domeinnamen komt overeen met de domeinnamen van Group 1 die werden gebruikt bij de aanvallen in 2016.

Op basis van de gevonden feiten kan worden vermoed dat er een verbinding bestaat tussen de operators van de CoffeMokko-sniffers en de criminele groep Group 1. Vermoedelijk hebben de operators van CoffeMokko tools en software voor creditcarddiefstal van hun voorgangers geleend. Het is echter waarschijnlijker dat de criminele groep achter het gebruik van de CoffeMokko-sniffers dezelfde mensen zijn die de aanvallen hebben uitgevoerd als onderdeel van de activiteiten van Group 1. Na de publicatie van het eerste rapport over de activiteiten van de criminele groep zijn al hun domeinnamen geblokkeerd en zijn de tools grondig bestudeerd en beschreven. De groep was gedwongen een pauze te nemen om hun interne tools te verbeteren en de code van de sniffers opnieuw te schrijven om hun aanvallen voort te zetten en onopgemerkt te blijven.

Infrastructuur

Bron: habr.com