ਚਾਰ JavaScript ਸੁੰਘਣ ਵਾਲੇ ਜੋ ਔਨਲਾਈਨ ਸਟੋਰਾਂ ਵਿੱਚ ਤੁਹਾਡੀ ਉਡੀਕ ਵਿੱਚ ਪਏ ਹਨ

ਲਗਭਗ ਸਾਰੇ ਅਸੀਂ ਔਨਲਾਈਨ ਸਟੋਰਾਂ ਦੀਆਂ ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਜਲਦੀ ਜਾਂ ਬਾਅਦ ਵਿੱਚ ਅਸੀਂ JavaScript ਸਨੀਫਰਾਂ ਦਾ ਸ਼ਿਕਾਰ ਹੋਣ ਦੇ ਜੋਖਮ ਨੂੰ ਚਲਾਉਂਦੇ ਹਾਂ - ਵਿਸ਼ੇਸ਼ ਕੋਡ ਜੋ ਹਮਲਾਵਰ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਬੈਂਕ ਕਾਰਡ ਡੇਟਾ, ਪਤੇ, ਲਾਗਇਨ ਅਤੇ ਪਾਸਵਰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਇੱਕ ਵੈਬਸਾਈਟ 'ਤੇ ਲਾਗੂ ਕਰਦੇ ਹਨ। .

ਬ੍ਰਿਟਿਸ਼ ਏਅਰਵੇਜ਼ ਦੀ ਵੈੱਬਸਾਈਟ ਅਤੇ ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਲਗਭਗ 400 ਉਪਭੋਗਤਾ ਪਹਿਲਾਂ ਹੀ ਸਨਿਫਰਾਂ ਦੁਆਰਾ ਪ੍ਰਭਾਵਿਤ ਹੋ ਚੁੱਕੇ ਹਨ, ਨਾਲ ਹੀ ਸਪੋਰਟਸ ਦਿੱਗਜ FILA ਅਤੇ ਅਮਰੀਕੀ ਟਿਕਟ ਵਿਤਰਕ ਟਿਕਟਮਾਸਟਰ ਦੀ ਬ੍ਰਿਟਿਸ਼ ਵੈਬਸਾਈਟ ਦੇ ਵਿਜ਼ਟਰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਹੋਏ ਹਨ। PayPal, Chase Paymenttech, USAePay, Moneris - ਇਹ ਅਤੇ ਕਈ ਹੋਰ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਸੰਕਰਮਿਤ ਸਨ।

ਥਰੇਟ ਇੰਟੈਲੀਜੈਂਸ ਗਰੁੱਪ-ਆਈਬੀ ਦੇ ਵਿਸ਼ਲੇਸ਼ਕ ਵਿਕਟਰ ਓਕੋਰੋਕੋਵ ਇਸ ਬਾਰੇ ਗੱਲ ਕਰਦੇ ਹਨ ਕਿ ਕਿਵੇਂ ਸੁੰਘਣ ਵਾਲੇ ਵੈੱਬਸਾਈਟ ਕੋਡ ਵਿੱਚ ਘੁਸਪੈਠ ਕਰਦੇ ਹਨ ਅਤੇ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਦੇ ਹਨ, ਨਾਲ ਹੀ ਉਹ ਕਿਹੜੇ CRM 'ਤੇ ਹਮਲਾ ਕਰਦੇ ਹਨ।

"ਗੁਪਤ ਧਮਕੀ"

ਇਹ ਇਸ ਤਰ੍ਹਾਂ ਹੋਇਆ ਕਿ ਲੰਬੇ ਸਮੇਂ ਤੱਕ ਜੇਐਸ ਸਨਿਫਰਸ ਐਂਟੀ-ਵਾਇਰਸ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦੀ ਨਜ਼ਰ ਤੋਂ ਬਾਹਰ ਰਹੇ, ਅਤੇ ਬੈਂਕਾਂ ਅਤੇ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਨੇ ਉਹਨਾਂ ਨੂੰ ਗੰਭੀਰ ਖ਼ਤਰੇ ਵਜੋਂ ਨਹੀਂ ਦੇਖਿਆ। ਅਤੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਵਿਅਰਥ. ਗਰੁੱਪ-ਆਈਬੀ ਮਾਹਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ 2440 ਸੰਕਰਮਿਤ ਔਨਲਾਈਨ ਸਟੋਰ, ਜਿਨ੍ਹਾਂ ਦੇ ਵਿਜ਼ਟਰ - ਪ੍ਰਤੀ ਦਿਨ ਲਗਭਗ 1,5 ਮਿਲੀਅਨ ਲੋਕ - ਸਮਝੌਤਾ ਦੇ ਜੋਖਮ ਵਿੱਚ ਸਨ। ਪੀੜਤਾਂ ਵਿੱਚ ਸਿਰਫ ਉਪਭੋਗਤਾ ਹੀ ਨਹੀਂ, ਬਲਕਿ ਔਨਲਾਈਨ ਸਟੋਰ, ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ ਅਤੇ ਬੈਂਕ ਵੀ ਸ਼ਾਮਲ ਹਨ ਜਿਨ੍ਹਾਂ ਨੇ ਸਮਝੌਤਾ ਕੀਤੇ ਕਾਰਡ ਜਾਰੀ ਕੀਤੇ ਹਨ।

ਰਿਪੋਰਟ ਗਰੁੱਪ-ਆਈਬੀ ਸਨਿਫਰਾਂ, ਉਹਨਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਅਤੇ ਮੁਦਰੀਕਰਨ ਦੇ ਤਰੀਕਿਆਂ ਲਈ ਡਾਰਕਨੈੱਟ ਮਾਰਕੀਟ ਦਾ ਪਹਿਲਾ ਅਧਿਐਨ ਬਣ ਗਿਆ, ਜੋ ਉਹਨਾਂ ਦੇ ਸਿਰਜਣਹਾਰਾਂ ਨੂੰ ਲੱਖਾਂ ਡਾਲਰ ਲਿਆਉਂਦਾ ਹੈ। ਅਸੀਂ ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੇ 38 ਪਰਿਵਾਰਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ 12 ਪਹਿਲਾਂ ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਜਾਣਦੇ ਸਨ।

ਆਉ ਅਸੀਂ ਅਧਿਐਨ ਦੌਰਾਨ ਅਧਿਐਨ ਕੀਤੇ ਸਨਿਫਰਾਂ ਦੇ ਚਾਰ ਪਰਿਵਾਰਾਂ 'ਤੇ ਵਿਸਥਾਰ ਨਾਲ ਵਿਚਾਰ ਕਰੀਏ।

ReactGet ਪਰਿਵਾਰ

ReactGet ਪਰਿਵਾਰ ਦੇ ਸਨੀਫਰਾਂ ਦੀ ਵਰਤੋਂ ਔਨਲਾਈਨ ਖਰੀਦਦਾਰੀ ਸਾਈਟਾਂ 'ਤੇ ਬੈਂਕ ਕਾਰਡ ਡੇਟਾ ਚੋਰੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸਨਿਫਰ ਸਾਈਟ 'ਤੇ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਵੱਖ-ਵੱਖ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਇੱਕ ਵੱਡੀ ਗਿਣਤੀ ਨਾਲ ਕੰਮ ਕਰ ਸਕਦਾ ਹੈ: ਇੱਕ ਪੈਰਾਮੀਟਰ ਮੁੱਲ ਇੱਕ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਅਤੇ ਸਨੀਫਰ ਦੇ ਵਿਅਕਤੀਗਤ ਖੋਜੇ ਗਏ ਸੰਸਕਰਣਾਂ ਨੂੰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਚੋਰੀ ਕਰਨ ਦੇ ਨਾਲ-ਨਾਲ ਭੁਗਤਾਨ ਤੋਂ ਬੈਂਕ ਕਾਰਡ ਡੇਟਾ ਚੋਰੀ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਇੱਕ ਵਾਰ ਵਿੱਚ ਕਈ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਦੇ ਰੂਪ, ਜਿਵੇਂ ਕਿ ਅਖੌਤੀ ਯੂਨੀਵਰਸਲ ਸਨਿਫਰ। ਇਹ ਪਾਇਆ ਗਿਆ ਕਿ ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਹਮਲਾਵਰ ਸਾਈਟ ਦੇ ਪ੍ਰਬੰਧਕੀ ਪੈਨਲ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਔਨਲਾਈਨ ਸਟੋਰ ਪ੍ਰਬੰਧਕਾਂ 'ਤੇ ਫਿਸ਼ਿੰਗ ਹਮਲੇ ਕਰਦੇ ਹਨ।

ਸਨੀਫਰਾਂ ਦੇ ਇਸ ਪਰਿਵਾਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀ ਇੱਕ ਮੁਹਿੰਮ ਮਈ 2017 ਵਿੱਚ ਸ਼ੁਰੂ ਹੋਈ; CMS ਅਤੇ Magento, Bigcommerce, ਅਤੇ Shopify ਪਲੇਟਫਾਰਮਾਂ ਨੂੰ ਚਲਾਉਣ ਵਾਲੀਆਂ ਸਾਈਟਾਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਗਿਆ ਸੀ।

ReactGet ਨੂੰ ਇੱਕ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਕੋਡ ਵਿੱਚ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ

ਇੱਕ ਲਿੰਕ ਰਾਹੀਂ ਇੱਕ ਸਕ੍ਰਿਪਟ ਦੇ "ਕਲਾਸਿਕ" ਲਾਗੂ ਕਰਨ ਤੋਂ ਇਲਾਵਾ, ਰਿਐਕਟਗੇਟ ਫੈਮਿਲੀ ਆਫ ਸਨਿਫਰਜ਼ ਦੇ ਆਪਰੇਟਰ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ: JavaScript ਕੋਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਉਹ ਜਾਂਚ ਕਰਦੇ ਹਨ ਕਿ ਮੌਜੂਦਾ ਪਤਾ ਜਿੱਥੇ ਉਪਭੋਗਤਾ ਸਥਿਤ ਹੈ, ਕੁਝ ਮਾਪਦੰਡਾਂ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਖਤਰਨਾਕ ਕੋਡ ਤਾਂ ਹੀ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ ਜੇਕਰ ਵਰਤਮਾਨ URL ਵਿੱਚ ਸਬਸਟਰਿੰਗ ਮੌਜੂਦ ਹੈ ਕਮਰਾ ਛੱਡ ਦਿਓ ਜ ਇੱਕ ਕਦਮ ਚੈੱਕਆਉਟ, ਇੱਕ ਪੰਨਾ/, ਬਾਹਰ/ਵਨਪੈਗ, ਚੈੱਕਆਉਟ/ਇੱਕ, ckout/ਇੱਕ. ਇਸ ਤਰ੍ਹਾਂ, ਸਨਿਫਰ ਕੋਡ ਨੂੰ ਉਸੇ ਸਮੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ ਜਦੋਂ ਉਪਭੋਗਤਾ ਖਰੀਦਦਾਰੀ ਲਈ ਭੁਗਤਾਨ ਕਰਨ ਲਈ ਅੱਗੇ ਵਧਦਾ ਹੈ ਅਤੇ ਸਾਈਟ 'ਤੇ ਫਾਰਮ ਵਿੱਚ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਦਾਖਲ ਕਰਦਾ ਹੈ।

ਇਹ ਸਨੀਫਰ ਗੈਰ-ਮਿਆਰੀ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਪੀੜਤ ਦਾ ਭੁਗਤਾਨ ਅਤੇ ਨਿੱਜੀ ਡੇਟਾ ਇਕੱਠਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਧਾਰ xNUMX, ਅਤੇ ਫਿਰ ਨਤੀਜੇ ਵਾਲੀ ਸਤਰ ਨੂੰ ਹਮਲਾਵਰਾਂ ਦੀ ਵੈੱਬਸਾਈਟ 'ਤੇ ਬੇਨਤੀ ਭੇਜਣ ਲਈ ਪੈਰਾਮੀਟਰ ਵਜੋਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਬਹੁਤੇ ਅਕਸਰ, ਗੇਟ ਦਾ ਮਾਰਗ ਇੱਕ JavaScript ਫਾਈਲ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ resp.js, data.js ਆਦਿ, ਪਰ ਚਿੱਤਰ ਫਾਈਲਾਂ ਦੇ ਲਿੰਕ ਵੀ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, GIF и JPG. ਖਾਸੀਅਤ ਇਹ ਹੈ ਕਿ ਸਨਿਫਰ 1 ਗੁਣਾ 1 ਪਿਕਸਲ ਮਾਪਣ ਵਾਲੀ ਇੱਕ ਚਿੱਤਰ ਵਸਤੂ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਇੱਕ ਪੈਰਾਮੀਟਰ ਵਜੋਂ ਪਹਿਲਾਂ ਪ੍ਰਾਪਤ ਕੀਤੇ ਲਿੰਕ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਝਰੋਖੇ ਚਿੱਤਰ। ਭਾਵ, ਉਪਭੋਗਤਾ ਲਈ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਅਜਿਹੀ ਬੇਨਤੀ ਇੱਕ ਆਮ ਤਸਵੀਰ ਦੀ ਬੇਨਤੀ ਵਾਂਗ ਦਿਖਾਈ ਦੇਵੇਗੀ. ਇੱਕ ਸਮਾਨ ਤਕਨੀਕ ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੇ ਇਮੇਜਆਈਡੀ ਪਰਿਵਾਰ ਵਿੱਚ ਵਰਤੀ ਗਈ ਸੀ। ਇਸ ਤੋਂ ਇਲਾਵਾ, 1 ਗੁਣਾ 1 ਪਿਕਸਲ ਚਿੱਤਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਤਕਨੀਕ ਬਹੁਤ ਸਾਰੀਆਂ ਜਾਇਜ਼ ਔਨਲਾਈਨ ਵਿਸ਼ਲੇਸ਼ਣ ਸਕ੍ਰਿਪਟਾਂ ਵਿੱਚ ਵਰਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਉਪਭੋਗਤਾ ਨੂੰ ਗੁੰਮਰਾਹ ਵੀ ਕਰ ਸਕਦੀ ਹੈ।

ਸੰਸਕਰਣ ਵਿਸ਼ਲੇਸ਼ਣ

ਰੀਐਕਟਗੇਟ ਸਨੀਫਰ ਓਪਰੇਟਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਕਿਰਿਆਸ਼ੀਲ ਡੋਮੇਨਾਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਸਨੀਫਰਾਂ ਦੇ ਇਸ ਪਰਿਵਾਰ ਦੇ ਬਹੁਤ ਸਾਰੇ ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣਾਂ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ। ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਰੁਕਾਵਟ ਦੀ ਮੌਜੂਦਗੀ ਜਾਂ ਗੈਰਹਾਜ਼ਰੀ ਵਿੱਚ ਭਿੰਨਤਾ ਹੈ, ਅਤੇ ਇਸ ਤੋਂ ਇਲਾਵਾ, ਹਰੇਕ ਸਨਿਫਰ ਨੂੰ ਇੱਕ ਖਾਸ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਔਨਲਾਈਨ ਸਟੋਰਾਂ ਲਈ ਬੈਂਕ ਕਾਰਡ ਭੁਗਤਾਨਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ। ਸੰਸਕਰਣ ਨੰਬਰ ਦੇ ਅਨੁਸਾਰੀ ਪੈਰਾਮੀਟਰ ਦੇ ਮੁੱਲ ਦੁਆਰਾ ਛਾਂਟਣ ਤੋਂ ਬਾਅਦ, ਗਰੁੱਪ-ਆਈਬੀ ਮਾਹਰਾਂ ਨੂੰ ਉਪਲਬਧ ਸਨਿਫਰ ਪਰਿਵਰਤਨਾਂ ਦੀ ਇੱਕ ਪੂਰੀ ਸੂਚੀ ਪ੍ਰਾਪਤ ਹੋਈ, ਅਤੇ ਉਹਨਾਂ ਫਾਰਮ ਖੇਤਰਾਂ ਦੇ ਨਾਵਾਂ ਦੁਆਰਾ ਜੋ ਹਰੇਕ ਸਨੀਫਰ ਪੰਨਾ ਕੋਡ ਵਿੱਚ ਲੱਭਦਾ ਹੈ, ਉਹਨਾਂ ਨੇ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ। ਕਿ ਸੁੰਘਣ ਵਾਲੇ ਦਾ ਉਦੇਸ਼ ਹੈ।

ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੀ ਸੂਚੀ ਅਤੇ ਉਹਨਾਂ ਦੇ ਅਨੁਸਾਰੀ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ

ਸਨਿਫਰ URL	ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ
reactjsapi.com/react.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ajaxstatic.com/api.js?v=2.1.1	ਕਾਰਡਸੇਵ
ajaxstatic.com/api.js?v=2.1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ajaxstatic.com/api.js?v=2.1.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ajaxstatic.com/api.js?v=2.1.4	eWAY ਰੈਪਿਡ
ajaxstatic.com/api.js?v=2.1.5	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ajaxstatic.com/api.js?v=2.1.6	ਐਡੀਅਨ
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	ਅਧਿਕਾਰਤ.ਨੈੱਟ
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
apitstatus.com/api.js?v=2.1.3	ਮੋਨੇਰਿਸ
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	ਪੇਪਾਲ
apitstatus.com/api.js?v=2.1.7	ਸੇਜ ਪੇ
apitstatus.com/api.js?v=2.1.8	VeriSign
apitstatus.com/api.js?v=2.1.9	ਪੇਪਾਲ
apitstatus.com/api.js?v=2.3.0	ਸਟਰਿਪ
apitstatus.com/api.js?v=3.0.2	ਰੀਅਲੈਕਸ
apitstatus.com/api.js?v=3.0.3	ਪੇਪਾਲ
apitstatus.com/api.js?v=3.0.4	ਲਿੰਕਪੁਆਇੰਟ
apitstatus.com/api.js?v=3.0.5	ਪੇਪਾਲ
apitstatus.com/api.js?v=3.0.7	ਪੇਪਾਲ
apitstatus.com/api.js?v=3.0.8	ਡਾਟਾਕੈਸ਼
apitstatus.com/api.js?v=3.0.9	ਪੇਪਾਲ
asianfoodgracer.com/footer.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
billgetstatus.com/api.js?v=1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
billgetstatus.com/api.js?v=1.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
billgetstatus.com/api.js?v=1.4	ਅਧਿਕਾਰਤ.ਨੈੱਟ
billgetstatus.com/api.js?v=1.5	VeriSign
billgetstatus.com/api.js?v=1.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
billgetstatus.com/api.js?v=1.7	ਮੋਨੇਰਿਸ
billgetstatus.com/api.js?v=1.8	ਸੇਜ ਪੇ
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
cloudodesc.com/gtm.js?v=1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
cloudodesc.com/gtm.js?v=1.3	ANZ eGate
cloudodesc.com/gtm.js?v=2.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
cloudodesc.com/gtm.js?v=2.4	ਮੋਨੇਰਿਸ
cloudodesc.com/gtm.js?v=2.6	ਸੇਜ ਪੇ
cloudodesc.com/gtm.js?v=2.7	ਸੇਜ ਪੇ
cloudodesc.com/gtm.js?v=2.8	Paymentech ਦਾ ਪਿੱਛਾ ਕਰੋ
cloudodesc.com/gtm.js?v=2.9	ਅਧਿਕਾਰਤ.ਨੈੱਟ
cloudodesc.com/gtm.js?v=2.91	ਐਡੀਅਨ
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	ਸਾਈਬਰ ਸਰੋਤ
cloudodesc.com/gtm.js?v=2.95	ANZ eGate
cloudodesc.com/gtm.js?v=2.97	ਰੀਅਲੈਕਸ
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
gtmproc.com/gtm.js?v=1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
gtmproc.com/gtm.js?v=1.3	ANZ eGate
gtmproc.com/gtm.js?v=1.5	ਪੇਪਾਲ
gtmproc.com/gtm.js?v=1.6	ਪੇਪਾਲ
gtmproc.com/gtm.js?v=1.7	ਰੀਅਲੈਕਸ
livecheckpay.com/api.js?v=2.0	ਸੇਜ ਪੇ
livecheckpay.com/api.js?v=2.1	ਪੇਪਾਲ
livecheckpay.com/api.js?v=2.2	VeriSign
livecheckpay.com/api.js?v=2.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livecheckpay.com/api.js?v=2.4	VeriSign
livecheckpay.com/react.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.1.2	ANZ eGate
livegetpay.com/pay.js?v=2.1.3	ਪੇਪਾਲ
livegetpay.com/pay.js?v=2.1.5	ਸਾਈਬਰ ਸਰੋਤ
livegetpay.com/pay.js?v=2.1.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.1.8	ਸੇਜ ਪੇ
livegetpay.com/pay.js?v=2.1.9	ਰੀਅਲੈਕਸ
livegetpay.com/pay.js?v=2.2.0	ਸਾਈਬਰ ਸਰੋਤ
livegetpay.com/pay.js?v=2.2.1	ਪੇਪਾਲ
livegetpay.com/pay.js?v=2.2.2	ਪੇਪਾਲ
livegetpay.com/pay.js?v=2.2.3	ਪੇਪਾਲ
livegetpay.com/pay.js?v=2.2.4	VeriSign
livegetpay.com/pay.js?v=2.2.5	eWAY ਰੈਪਿਡ
livegetpay.com/pay.js?v=2.2.7	ਸੇਜ ਪੇ
livegetpay.com/pay.js?v=2.2.8	ਸੇਜ ਪੇ
livegetpay.com/pay.js?v=2.2.9	VeriSign
livegetpay.com/pay.js?v=2.3.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.3.1	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.3.2	ਪਹਿਲਾ ਡਾਟਾ ਗਲੋਬਲ ਗੇਟਵੇ
livegetpay.com/pay.js?v=2.3.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.3.4	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.3.5	ਮੋਨੇਰਿਸ
livegetpay.com/pay.js?v=2.3.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
livegetpay.com/pay.js?v=2.3.8	ਪੇਪਾਲ
livegetpay.com/pay.js?v=2.4.0	VeriSign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mediapack.info/track.js?d=vseyewear.com	VeriSign
mxcounter.com/c.js?v=1.2	ਪੇਪਾਲ
mxcounter.com/c.js?v=1.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/c.js?v=1.4	ਸਟਰਿਪ
mxcounter.com/c.js?v=1.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/c.js?v=1.7	eWAY ਰੈਪਿਡ
mxcounter.com/c.js?v=1.8	ਸੇਜ ਪੇ
mxcounter.com/c.js?v=2.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/c.js?v=2.1	Braintree
mxcounter.com/c.js?v=2.10	Braintree
mxcounter.com/c.js?v=2.2	ਪੇਪਾਲ
mxcounter.com/c.js?v=2.3	ਸੇਜ ਪੇ
mxcounter.com/c.js?v=2.31	ਸੇਜ ਪੇ
mxcounter.com/c.js?v=2.32	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/c.js?v=2.33	ਪੇਪਾਲ
mxcounter.com/c.js?v=2.34	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/c.js?v=2.35	VeriSign
mxcounter.com/click.js?v=1.2	ਪੇਪਾਲ
mxcounter.com/click.js?v=1.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/click.js?v=1.4	ਸਟਰਿਪ
mxcounter.com/click.js?v=1.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/click.js?v=1.7	eWAY ਰੈਪਿਡ
mxcounter.com/click.js?v=1.8	ਸੇਜ ਪੇ
mxcounter.com/click.js?v=2.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/click.js?v=2.1	Braintree
mxcounter.com/click.js?v=2.2	ਪੇਪਾਲ
mxcounter.com/click.js?v=2.3	ਸੇਜ ਪੇ
mxcounter.com/click.js?v=2.31	ਸੇਜ ਪੇ
mxcounter.com/click.js?v=2.32	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/click.js?v=2.33	ਪੇਪਾਲ
mxcounter.com/click.js?v=2.34	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/click.js?v=2.35	VeriSign
mxcounter.com/cnt.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
mxcounter.com/j.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
newrelicnet.com/api.js?v=1.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
newrelicnet.com/api.js?v=1.4	ਅਧਿਕਾਰਤ.ਨੈੱਟ
newrelicnet.com/api.js?v=1.8	ਸੇਜ ਪੇ
newrelicnet.com/api.js?v=4.5	ਸੇਜ ਪੇ
newrelicnet.com/api.js?v=4.6	ਵੈਸਟਪੈਕ ਪੇਵੇ
nr-public.com/api.js?v=2.0	PayFort
nr-public.com/api.js?v=2.1	ਪੇਪਾਲ
nr-public.com/api.js?v=2.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=2.3	ਸਟਰਿਪ
nr-public.com/api.js?v=2.4	ਪਹਿਲਾ ਡਾਟਾ ਗਲੋਬਲ ਗੇਟਵੇ
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=2.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=2.8	ਮੋਨੇਰਿਸ
nr-public.com/api.js?v=2.9	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=3.1	ਸੇਜ ਪੇ
nr-public.com/api.js?v=3.2	VeriSign
nr-public.com/api.js?v=3.3	ਮੋਨੇਰਿਸ
nr-public.com/api.js?v=3.5	ਪੇਪਾਲ
nr-public.com/api.js?v=3.6	ਲਿੰਕਪੁਆਇੰਟ
nr-public.com/api.js?v=3.7	ਵੈਸਟਪੈਕ ਪੇਵੇ
nr-public.com/api.js?v=3.8	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=4.0	ਮੋਨੇਰਿਸ
nr-public.com/api.js?v=4.0.2	ਪੇਪਾਲ
nr-public.com/api.js?v=4.0.3	ਐਡੀਅਨ
nr-public.com/api.js?v=4.0.4	ਪੇਪਾਲ
nr-public.com/api.js?v=4.0.5	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	ਅਧਿਕਾਰਤ.ਨੈੱਟ
nr-public.com/api.js?v=4.0.9	VeriSign
nr-public.com/api.js?v=4.1.2	VeriSign
ordercheckpays.com/api.js?v=2.11	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.12	ਪੇਪਾਲ
ordercheckpays.com/api.js?v=2.13	ਮੋਨੇਰਿਸ
ordercheckpays.com/api.js?v=2.14	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.15	ਪੇਪਾਲ
ordercheckpays.com/api.js?v=2.16	ਪੇਪਾਲ
ordercheckpays.com/api.js?v=2.17	ਵੈਸਟਪੈਕ ਪੇਵੇ
ordercheckpays.com/api.js?v=2.18	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.19	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.21	ਸੇਜ ਪੇ
ordercheckpays.com/api.js?v=2.22	VeriSign
ordercheckpays.com/api.js?v=2.23	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.24	ਪੇਪਾਲ
ordercheckpays.com/api.js?v=2.25	PayFort
ordercheckpays.com/api.js?v=2.29	ਸਾਈਬਰ ਸਰੋਤ
ordercheckpays.com/api.js?v=2.4	ਪੇਪਾਲ ਪੇਫਲੋ ਪ੍ਰੋ
ordercheckpays.com/api.js?v=2.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.8	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=2.9	VeriSign
ordercheckpays.com/api.js?v=3.1	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=3.2	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=3.3	ਸੇਜ ਪੇ
ordercheckpays.com/api.js?v=3.4	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=3.5	ਸਟਰਿਪ
ordercheckpays.com/api.js?v=3.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=3.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=3.8	VeriSign
ordercheckpays.com/api.js?v=3.9	ਪੇਪਾਲ
ordercheckpays.com/api.js?v=4.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=4.1	ਅਧਿਕਾਰਤ.ਨੈੱਟ
ordercheckpays.com/api.js?v=4.2	ਸੇਜ ਪੇ
ordercheckpays.com/api.js?v=4.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=0.1.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=0.1.1	ਪੇਪਾਲ
reactjsapi.com/api.js?v=4.1.2	ਲੇਵੀਸ੍ਬੂਰ੍ਗ
reactjsapi.com/api.js?v=4.1.4	ਪੇਪਾਲ
reactjsapi.com/api.js?v=4.1.5	ਸੇਜ ਪੇ
reactjsapi.com/api.js?v=4.1.51	VeriSign
reactjsapi.com/api.js?v=4.1.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.1.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.1.8	ਸਟਰਿਪ
reactjsapi.com/api.js?v=4.1.9	ਮੋਟਾ ਜ਼ੈਬਰਾ
reactjsapi.com/api.js?v=4.2.0	ਸੇਜ ਪੇ
reactjsapi.com/api.js?v=4.2.1	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.2.2	ਪਹਿਲਾ ਡਾਟਾ ਗਲੋਬਲ ਗੇਟਵੇ
reactjsapi.com/api.js?v=4.2.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.2.4	eWAY ਰੈਪਿਡ
reactjsapi.com/api.js?v=4.2.5	ਐਡੀਅਨ
reactjsapi.com/api.js?v=4.2.7	ਪੇਪਾਲ
reactjsapi.com/api.js?v=4.2.8	QuickBooks ਵਪਾਰੀ ਸੇਵਾਵਾਂ
reactjsapi.com/api.js?v=4.2.9	VeriSign
reactjsapi.com/api.js?v=4.2.91	ਸੇਜ ਪੇ
reactjsapi.com/api.js?v=4.2.92	VeriSign
reactjsapi.com/api.js?v=4.2.94	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.3.97	ਅਧਿਕਾਰਤ.ਨੈੱਟ
reactjsapi.com/api.js?v=4.5	ਸੇਜ ਪੇ
reactjsapi.com/react.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
sydneysalonsupplies.com/gtm.js	eWAY ਰੈਪਿਡ
tagsmediaget.com/react.js	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.1.2	ANZ eGate
tagstracking.com/tag.js?v=2.1.3	ਪੇਪਾਲ
tagstracking.com/tag.js?v=2.1.5	ਸਾਈਬਰ ਸਰੋਤ
tagstracking.com/tag.js?v=2.1.7	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.1.8	ਸੇਜ ਪੇ
tagstracking.com/tag.js?v=2.1.9	ਰੀਅਲੈਕਸ
tagstracking.com/tag.js?v=2.2.0	ਸਾਈਬਰ ਸਰੋਤ
tagstracking.com/tag.js?v=2.2.1	ਪੇਪਾਲ
tagstracking.com/tag.js?v=2.2.2	ਪੇਪਾਲ
tagstracking.com/tag.js?v=2.2.3	ਪੇਪਾਲ
tagstracking.com/tag.js?v=2.2.4	VeriSign
tagstracking.com/tag.js?v=2.2.5	eWAY ਰੈਪਿਡ
tagstracking.com/tag.js?v=2.2.7	ਸੇਜ ਪੇ
tagstracking.com/tag.js?v=2.2.8	ਸੇਜ ਪੇ
tagstracking.com/tag.js?v=2.2.9	VeriSign
tagstracking.com/tag.js?v=2.3.0	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.3.1	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.3.2	ਪਹਿਲਾ ਡਾਟਾ ਗਲੋਬਲ ਗੇਟਵੇ
tagstracking.com/tag.js?v=2.3.3	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.3.4	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.3.5	ਮੋਨੇਰਿਸ
tagstracking.com/tag.js?v=2.3.6	ਅਧਿਕਾਰਤ.ਨੈੱਟ
tagstracking.com/tag.js?v=2.3.8	ਪੇਪਾਲ

ਪਾਸਵਰਡ ਸੁੰਘਣ ਵਾਲਾ

ਕਿਸੇ ਵੈਬਸਾਈਟ ਦੇ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਕੰਮ ਕਰਨ ਵਾਲੇ JavaScript ਸਨਿਫਰਾਂ ਦਾ ਇੱਕ ਫਾਇਦਾ ਉਹਨਾਂ ਦੀ ਬਹੁਪੱਖੀਤਾ ਹੈ: ਇੱਕ ਵੈਬਸਾਈਟ 'ਤੇ ਏਮਬੇਡ ਕੀਤਾ ਗਿਆ ਖਤਰਨਾਕ ਕੋਡ ਕਿਸੇ ਵੀ ਕਿਸਮ ਦਾ ਡੇਟਾ ਚੋਰੀ ਕਰ ਸਕਦਾ ਹੈ, ਭਾਵੇਂ ਇਹ ਭੁਗਤਾਨ ਡੇਟਾ ਜਾਂ ਉਪਭੋਗਤਾ ਖਾਤੇ ਦਾ ਲੌਗਇਨ ਅਤੇ ਪਾਸਵਰਡ ਹੋਵੇ। ਗਰੁੱਪ-ਆਈਬੀ ਦੇ ਮਾਹਰਾਂ ਨੇ ਰੀਐਕਟਗੇਟ ਪਰਿਵਾਰ ਨਾਲ ਸਬੰਧਤ ਇੱਕ ਸਨਿਫਰ ਦਾ ਨਮੂਨਾ ਲੱਭਿਆ, ਜੋ ਸਾਈਟ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਈਮੇਲ ਪਤੇ ਅਤੇ ਪਾਸਵਰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ImageID ਸਨਿਫਰ ਨਾਲ ਇੰਟਰਸੈਕਸ਼ਨ

ਸੰਕਰਮਿਤ ਸਟੋਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਇਹ ਪਾਇਆ ਗਿਆ ਕਿ ਇਸਦੀ ਵੈਬਸਾਈਟ ਦੋ ਵਾਰ ਸੰਕਰਮਿਤ ਹੋਈ ਸੀ: ਰੀਐਕਟਗੇਟ ਫੈਮਿਲੀ ਸਨਿਫਰ ਦੇ ਖਤਰਨਾਕ ਕੋਡ ਤੋਂ ਇਲਾਵਾ, ਇਮੇਜਆਈਡੀ ਫੈਮਿਲੀ ਸਨਿਫਰ ਦੇ ਕੋਡ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ। ਇਹ ਓਵਰਲੈਪ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਦੋਵੇਂ ਸਨੀਫਰਾਂ ਦੇ ਪਿੱਛੇ ਓਪਰੇਟਰ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਇੰਜੈਕਟ ਕਰਨ ਲਈ ਸਮਾਨ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।

ਯੂਨੀਵਰਸਲ ਸੁੰਘਣ ਵਾਲਾ

ReactGet sniffer infrastructure ਨਾਲ ਜੁੜੇ ਡੋਮੇਨ ਨਾਮਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਪਤਾ ਲੱਗਿਆ ਹੈ ਕਿ ਉਸੇ ਉਪਭੋਗਤਾ ਨੇ ਤਿੰਨ ਹੋਰ ਡੋਮੇਨ ਨਾਮ ਰਜਿਸਟਰ ਕੀਤੇ ਸਨ। ਇਹ ਤਿੰਨ ਡੋਮੇਨ ਅਸਲ-ਜੀਵਨ ਦੀਆਂ ਵੈਬਸਾਈਟਾਂ ਦੇ ਡੋਮੇਨਾਂ ਦੀ ਨਕਲ ਕਰਦੇ ਹਨ ਅਤੇ ਪਹਿਲਾਂ ਸਨਿਫਰਾਂ ਦੀ ਮੇਜ਼ਬਾਨੀ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਸਨ। ਤਿੰਨ ਜਾਇਜ਼ ਸਾਈਟਾਂ ਦੇ ਕੋਡ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦੇ ਸਮੇਂ, ਇੱਕ ਅਣਜਾਣ ਸਨਿਫਰ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ, ਅਤੇ ਹੋਰ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਦਿਖਾਇਆ ਕਿ ਇਹ ReactGet ਸਨਿਫਰ ਦਾ ਇੱਕ ਸੁਧਾਰਿਆ ਸੰਸਕਰਣ ਸੀ। ਸਨੀਫਰਾਂ ਦੇ ਇਸ ਪਰਿਵਾਰ ਦੇ ਸਾਰੇ ਪਹਿਲਾਂ ਨਿਗਰਾਨੀ ਕੀਤੇ ਗਏ ਸੰਸਕਰਣਾਂ ਦਾ ਉਦੇਸ਼ ਇੱਕ ਸਿੰਗਲ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ 'ਤੇ ਸੀ, ਭਾਵ, ਹਰੇਕ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ ਨੂੰ ਸਨਿਫਰ ਦੇ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਸੰਸਕਰਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਹਾਲਾਂਕਿ, ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਸਨਿਫਰ ਦਾ ਇੱਕ ਯੂਨੀਵਰਸਲ ਸੰਸਕਰਣ ਖੋਜਿਆ ਗਿਆ ਸੀ ਜੋ ਔਨਲਾਈਨ ਭੁਗਤਾਨ ਕਰਨ ਲਈ 15 ਵੱਖ-ਵੱਖ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਈ-ਕਾਮਰਸ ਸਾਈਟਾਂ ਦੇ ਮਾਡਿਊਲਾਂ ਨਾਲ ਸਬੰਧਤ ਫਾਰਮਾਂ ਤੋਂ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਨ ਦੇ ਸਮਰੱਥ ਹੈ।

ਇਸ ਲਈ, ਕੰਮ ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ, ਸਨਿਫਰ ਨੇ ਪੀੜਤ ਦੀ ਨਿੱਜੀ ਜਾਣਕਾਰੀ ਵਾਲੇ ਬੁਨਿਆਦੀ ਫਾਰਮ ਖੇਤਰਾਂ ਦੀ ਖੋਜ ਕੀਤੀ: ਪੂਰਾ ਨਾਮ, ਭੌਤਿਕ ਪਤਾ, ਫ਼ੋਨ ਨੰਬਰ।

ਸਨਿਫਰ ਨੇ ਫਿਰ ਵੱਖ-ਵੱਖ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਔਨਲਾਈਨ ਭੁਗਤਾਨ ਮਾਡਿਊਲਾਂ ਨਾਲ ਸੰਬੰਧਿਤ 15 ਵੱਖ-ਵੱਖ ਅਗੇਤਰਾਂ ਦੀ ਖੋਜ ਕੀਤੀ।

ਅੱਗੇ, ਪੀੜਤ ਦਾ ਨਿੱਜੀ ਡੇਟਾ ਅਤੇ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਾਈਟ 'ਤੇ ਭੇਜੀ ਗਈ ਸੀ: ਇਸ ਵਿਸ਼ੇਸ਼ ਮਾਮਲੇ ਵਿੱਚ, ਯੂਨੀਵਰਸਲ ਰੀਐਕਟਗੇਟ ਸਨਿਫਰ ਦੇ ਦੋ ਸੰਸਕਰਣ ਲੱਭੇ ਗਏ ਸਨ, ਜੋ ਕਿ ਦੋ ਵੱਖ-ਵੱਖ ਹੈਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ 'ਤੇ ਸਥਿਤ ਹਨ। ਹਾਲਾਂਕਿ, ਦੋਵੇਂ ਸੰਸਕਰਣਾਂ ਨੇ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਇੱਕੋ ਹੈਕ ਕੀਤੀ ਸਾਈਟ 'ਤੇ ਭੇਜਿਆ zoobashop.com.

ਅਗੇਤਰਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਜੋ ਕਿ ਸਨਿਫਰ ਦੁਆਰਾ ਪੀੜਤ ਦੀ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਵਾਲੇ ਖੇਤਰਾਂ ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਨੇ ਸਾਨੂੰ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਕਿ ਇਹ ਸਨੀਫਰ ਨਮੂਨਾ ਨਿਮਨਲਿਖਤ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਸੀ:

• ਅਧਿਕਾਰਤ.ਨੈੱਟ
• VeriSign
• ਪਹਿਲਾ ਡਾਟਾ
• USAePay
• ਸਟਰਿਪ
• ਪੇਪਾਲ
• ANZ eGate
• Braintree
• ਡਾਟਾਕੈਸ਼ (ਮਾਸਟਰਕਾਰਡ)
• Realex ਭੁਗਤਾਨ
• PsiGate
• ਹਾਰਟਲੈਂਡ ਪੇਮੈਂਟ ਸਿਸਟਮ

ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਨ ਲਈ ਕਿਹੜੇ ਸਾਧਨ ਵਰਤੇ ਜਾਂਦੇ ਹਨ?

ਹਮਲਾਵਰਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੌਰਾਨ ਲੱਭੇ ਗਏ ਪਹਿਲੇ ਸਾਧਨ ਦੀ ਵਰਤੋਂ ਬੈਂਕ ਕਾਰਡਾਂ ਦੀ ਚੋਰੀ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਖਤਰਨਾਕ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਅਸਪਸ਼ਟ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਹਮਲਾਵਰ ਦੇ ਮੇਜ਼ਬਾਨਾਂ ਵਿੱਚੋਂ ਇੱਕ 'ਤੇ ਪ੍ਰੋਜੈਕਟ ਦੀ CLI ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀ ਇੱਕ ਬੈਸ਼ ਸਕ੍ਰਿਪਟ ਖੋਜੀ ਗਈ ਸੀ javascript-obfuscator ਸਨਿਫਰ ਕੋਡ ਦੀ ਗੁੰਝਲਤਾ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਨ ਲਈ।

ਦੂਜਾ ਖੋਜਿਆ ਟੂਲ ਮੁੱਖ ਸਨੀਫਰ ਨੂੰ ਲੋਡ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਕੋਡ ਬਣਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਟੂਲ JavaScript ਕੋਡ ਤਿਆਰ ਕਰਦਾ ਹੈ ਜੋ ਸਤਰ ਲਈ ਉਪਭੋਗਤਾ ਦੇ ਮੌਜੂਦਾ ਪਤੇ ਦੀ ਖੋਜ ਕਰਕੇ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਉਪਭੋਗਤਾ ਭੁਗਤਾਨ ਪੰਨੇ 'ਤੇ ਹੈ ਜਾਂ ਨਹੀਂ। ਕਮਰਾ ਛੱਡ ਦਿਓ, ਕਾਰਟ ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ, ਅਤੇ ਜੇਕਰ ਨਤੀਜਾ ਸਕਾਰਾਤਮਕ ਹੈ, ਤਾਂ ਕੋਡ ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ ਤੋਂ ਮੁੱਖ ਸਨਿਫਰ ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ। ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਛੁਪਾਉਣ ਲਈ, ਭੁਗਤਾਨ ਪੰਨੇ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਟੈਸਟ ਲਾਈਨਾਂ ਸਮੇਤ ਸਾਰੀਆਂ ਲਾਈਨਾਂ, ਅਤੇ ਨਾਲ ਹੀ ਸਨਿਫਰ ਦਾ ਲਿੰਕ, ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਹੈ ਅਧਾਰ xNUMX.

ਫਿਸ਼ਿੰਗ ਹਮਲੇ

ਹਮਲਾਵਰਾਂ ਦੇ ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਪਤਾ ਲੱਗਾ ਹੈ ਕਿ ਅਪਰਾਧਿਕ ਸਮੂਹ ਅਕਸਰ ਨਿਸ਼ਾਨਾ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਪ੍ਰਬੰਧਕੀ ਪੈਨਲ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਫਿਸ਼ਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਹਮਲਾਵਰ ਇੱਕ ਡੋਮੇਨ ਨੂੰ ਰਜਿਸਟਰ ਕਰਦੇ ਹਨ ਜੋ ਕਿ ਸਟੋਰ ਦੇ ਡੋਮੇਨ ਦੇ ਸਮਾਨ ਹੈ, ਅਤੇ ਫਿਰ ਇਸ 'ਤੇ ਇੱਕ ਜਾਅਲੀ Magento ਪ੍ਰਸ਼ਾਸਨ ਪੈਨਲ ਲੌਗਇਨ ਫਾਰਮ ਨੂੰ ਤੈਨਾਤ ਕਰਦੇ ਹਨ। ਜੇਕਰ ਸਫਲ ਹੋ ਜਾਂਦੇ ਹਨ, ਤਾਂ ਹਮਲਾਵਰ Magento CMS ਦੇ ਪ੍ਰਬੰਧਕੀ ਪੈਨਲ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨਗੇ, ਜੋ ਉਹਨਾਂ ਨੂੰ ਵੈਬਸਾਈਟ ਦੇ ਭਾਗਾਂ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਅਤੇ ਕ੍ਰੈਡਿਟ ਕਾਰਡ ਡੇਟਾ ਚੋਰੀ ਕਰਨ ਲਈ ਇੱਕ ਸਨਿਫਰ ਲਾਗੂ ਕਰਨ ਦਾ ਮੌਕਾ ਦਿੰਦਾ ਹੈ।

ਬੁਨਿਆਦੀ ਢਾਂਚਾ

ਡੋਮੈਨ	ਖੋਜ/ਦਿੱਖ ਦੀ ਮਿਤੀ
mediapack.info	04.05.2017
adsgetapi.com	15.06.2017
simcounter.com	14.08.2017
mageanalytics.com	22.12.2017
maxstatics.com	16.01.2018
reactjsapi.com	19.01.2018
mxcounter.com	02.02.2018
apitstatus.com	01.03.2018
orderracker.com	20.04.2018
tagstracking.com	25.06.2018
adsapigate.com	12.07.2018
trust-tracker.com	15.07.2018
fbstatspartner.com	02.10.2018
billgetstatus.com	12.10.2018
www.aldenmlilhouse.com	20.10.2018
balletbeautlful.com	20.10.2018
bargalnjunkie.com	20.10.2018
payselector.com	21.10.2018
tagsmediaget.com	02.11.2018
hs-payments.com	16.11.2018
ordercheckpays.com	19.11.2018
geisseie.com	24.11.2018
gtmproc.com	29.11.2018
livegetpay.com	18.12.2018
sydneysalonsupplies.com	18.12.2018
newrelicnet.com	19.12.2018
nr-public.com	03.01.2019
cloudodesc.com	04.01.2019
ajaxstatic.com	11.01.2019
livecheckpay.com	21.01.2019
asianfoodgracer.com	25.01.2019

ਜੀ-ਵਿਸ਼ਲੇਸ਼ਣ ਪਰਿਵਾਰ

ਸੁੰਘਣ ਵਾਲਿਆਂ ਦਾ ਇਹ ਪਰਿਵਾਰ ਆਨਲਾਈਨ ਸਟੋਰਾਂ ਤੋਂ ਗਾਹਕ ਕਾਰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਸਮੂਹ ਦੁਆਰਾ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਪਹਿਲਾ ਡੋਮੇਨ ਨਾਮ ਅਪ੍ਰੈਲ 2016 ਵਿੱਚ ਰਜਿਸਟਰ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਇਹ ਸੰਕੇਤ ਕਰ ਸਕਦਾ ਹੈ ਕਿ ਸਮੂਹ ਨੇ 2016 ਦੇ ਅੱਧ ਵਿੱਚ ਸਰਗਰਮੀ ਸ਼ੁਰੂ ਕੀਤੀ ਸੀ।

ਮੌਜੂਦਾ ਮੁਹਿੰਮ ਵਿੱਚ, ਸਮੂਹ ਡੋਮੇਨ ਨਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਜੋ ਅਸਲ-ਜੀਵਨ ਸੇਵਾਵਾਂ ਦੀ ਨਕਲ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਗੂਗਲ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ jQuery, ਜਾਇਜ਼ ਸਕ੍ਰਿਪਟਾਂ ਅਤੇ ਡੋਮੇਨ ਨਾਮਾਂ ਦੇ ਨਾਲ ਜਾਇਜ਼ ਸਕ੍ਰਿਪਟਾਂ ਦੇ ਨਾਲ ਸਨਿਫਰਾਂ ਦੀ ਗਤੀਵਿਧੀ ਨੂੰ ਮਾਸਕ ਕਰਦੇ ਹਨ। Magento CMS ਚਲਾਉਣ ਵਾਲੀਆਂ ਸਾਈਟਾਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਗਿਆ ਸੀ।

G-Analytics ਨੂੰ ਇੱਕ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਕੋਡ ਵਿੱਚ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ

ਇਸ ਪਰਿਵਾਰ ਦੀ ਇੱਕ ਵਿਲੱਖਣ ਵਿਸ਼ੇਸ਼ਤਾ ਉਪਭੋਗਤਾ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਨ ਲਈ ਵੱਖ-ਵੱਖ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਹੈ। ਸਾਈਟ ਦੇ ਕਲਾਇੰਟ ਸਾਈਡ ਵਿੱਚ JavaScript ਕੋਡ ਦੇ ਕਲਾਸਿਕ ਇੰਜੈਕਸ਼ਨ ਤੋਂ ਇਲਾਵਾ, ਅਪਰਾਧਿਕ ਸਮੂਹ ਨੇ ਸਾਈਟ ਦੇ ਸਰਵਰ ਸਾਈਡ ਵਿੱਚ ਕੋਡ ਇੰਜੈਕਸ਼ਨ ਤਕਨੀਕਾਂ ਦੀ ਵੀ ਵਰਤੋਂ ਕੀਤੀ, ਅਰਥਾਤ PHP ਸਕ੍ਰਿਪਟਾਂ ਜੋ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਦਾਖਲ ਕੀਤੇ ਡੇਟਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੀਆਂ ਹਨ। ਇਹ ਤਕਨੀਕ ਖਤਰਨਾਕ ਹੈ ਕਿਉਂਕਿ ਇਹ ਤੀਜੀ-ਧਿਰ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਲਈ ਖਤਰਨਾਕ ਕੋਡ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਮੁਸ਼ਕਲ ਬਣਾ ਦਿੰਦੀ ਹੈ। ਗਰੁੱਪ-ਆਈਬੀ ਮਾਹਿਰਾਂ ਨੇ ਸਾਈਟ ਦੇ PHP ਕੋਡ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤੇ ਸਨਿਫਰ ਦੇ ਇੱਕ ਸੰਸਕਰਣ ਦੀ ਖੋਜ ਕੀਤੀ, ਇੱਕ ਡੋਮੇਨ ਨੂੰ ਗੇਟ ਵਜੋਂ ਵਰਤਦੇ ਹੋਏ dittm.org.

ਇੱਕ ਸਨਿਫਰ ਦਾ ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਸੰਸਕਰਣ ਵੀ ਖੋਜਿਆ ਗਿਆ ਸੀ ਜੋ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਉਸੇ ਡੋਮੇਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ dittm.org, ਪਰ ਇਹ ਸੰਸਕਰਣ ਇੱਕ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਹੈ।

ਗਰੁੱਪ ਨੇ ਬਾਅਦ ਵਿੱਚ ਆਪਣੀ ਰਣਨੀਤੀ ਬਦਲ ਲਈ ਅਤੇ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀਆਂ ਅਤੇ ਛੁਪਾਉਣ 'ਤੇ ਵਧੇਰੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤਾ।

2017 ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ, ਸਮੂਹ ਨੇ ਡੋਮੇਨ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀ jquery-js.com, jQuery ਲਈ ਇੱਕ CDN ਦੇ ਰੂਪ ਵਿੱਚ ਮਖੌਟਾ ਕਰਨਾ: ਹਮਲਾਵਰਾਂ ਦੀ ਸਾਈਟ 'ਤੇ ਜਾਣ ਵੇਲੇ, ਉਪਭੋਗਤਾ ਨੂੰ ਇੱਕ ਜਾਇਜ਼ ਸਾਈਟ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ jquery.com.

ਅਤੇ 2018 ਦੇ ਅੱਧ ਵਿੱਚ, ਸਮੂਹ ਨੇ ਡੋਮੇਨ ਨਾਮ ਅਪਣਾਇਆ g-analytics.com ਅਤੇ ਸਨਿਫਰ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਨੂੰ ਇੱਕ ਜਾਇਜ਼ Google ਵਿਸ਼ਲੇਸ਼ਣ ਸੇਵਾ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਵਿੱਚ ਲਿਆਉਣਾ ਸ਼ੁਰੂ ਕੀਤਾ।

ਸੰਸਕਰਣ ਵਿਸ਼ਲੇਸ਼ਣ

ਸਨਿਫਰ ਕੋਡ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਵਰਤੇ ਗਏ ਡੋਮੇਨਾਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਇਹ ਪਾਇਆ ਗਿਆ ਕਿ ਸਾਈਟ ਵਿੱਚ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਸੰਸਕਰਣ ਹਨ, ਜੋ ਕਿ ਗੜਬੜ ਦੀ ਮੌਜੂਦਗੀ ਵਿੱਚ ਵੱਖੋ-ਵੱਖਰੇ ਹਨ, ਨਾਲ ਹੀ ਧਿਆਨ ਨੂੰ ਭਟਕਾਉਣ ਲਈ ਫਾਈਲ ਵਿੱਚ ਸ਼ਾਮਲ ਨਾ ਹੋਣ ਯੋਗ ਕੋਡ ਦੀ ਮੌਜੂਦਗੀ ਜਾਂ ਗੈਰਹਾਜ਼ਰੀ. ਅਤੇ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਲੁਕਾਓ।

ਸਾਈਟ 'ਤੇ ਕੁੱਲ jquery-js.com ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੇ ਛੇ ਸੰਸਕਰਣਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। ਇਹ ਸਨੀਫਰ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਉਸੇ ਵੈਬਸਾਈਟ 'ਤੇ ਸਥਿਤ ਪਤੇ 'ਤੇ ਭੇਜਦੇ ਹਨ ਜਿਵੇਂ ਕਿ ਸਨਿਫਰ ਖੁਦ: hxxps://jquery-js[.]com/latest/jquery.min.js:

• hxxps://jquery-js[.]com/jquery.min.js
• hxxps://jquery-js[.]com/jquery.2.2.4.min.js
• hxxps://jquery-js[.]com/jquery.1.8.3.min.js
• hxxps://jquery-js[.]com/jquery.1.6.4.min.js
• hxxps://jquery-js[.]com/jquery.1.4.4.min.js
• hxxps://jquery-js[.]com/jquery.1.12.4.min.js

ਬਾਅਦ ਵਿੱਚ ਡੋਮੇਨ g-analytics.com, 2018 ਦੇ ਅੱਧ ਤੋਂ ਹਮਲਿਆਂ ਵਿੱਚ ਗਰੁੱਪ ਦੁਆਰਾ ਵਰਤਿਆ ਗਿਆ, ਹੋਰ ਸੁੰਘਣ ਵਾਲਿਆਂ ਲਈ ਇੱਕ ਭੰਡਾਰ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ। ਕੁੱਲ ਮਿਲਾ ਕੇ, ਸਨਿਫਰ ਦੇ 16 ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣਾਂ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ। ਇਸ ਕੇਸ ਵਿੱਚ, ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਭੇਜਣ ਲਈ ਗੇਟ ਨੂੰ ਇੱਕ ਚਿੱਤਰ ਫਾਰਮੈਟ ਦੇ ਲਿੰਕ ਵਜੋਂ ਭੇਸ ਵਿੱਚ ਰੱਖਿਆ ਗਿਆ ਸੀ GIF: hxxp://g-analytics[.]com/__utm.gif?v=1&_v=j68&a=98811130&t=pageview&_s=1&sd=24-bit&sr=2560×1440&vp=2145×371&je=0&_u=AACAAEAB~&jid=1841704724&gjid=877686936&cid
= 1283183910.1527732071:

• hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
• hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
• hxxps://g-analytics[.]com/libs/analytics.js

ਚੋਰੀ ਹੋਏ ਡੇਟਾ ਦਾ ਮੁਦਰੀਕਰਨ

ਅਪਰਾਧਿਕ ਸਮੂਹ ਖਾਸ ਤੌਰ 'ਤੇ ਬਣਾਏ ਗਏ ਭੂਮੀਗਤ ਸਟੋਰ ਦੁਆਰਾ ਕਾਰਡ ਵੇਚ ਕੇ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਦਾ ਮੁਦਰੀਕਰਨ ਕਰਦਾ ਹੈ ਜੋ ਕਾਰਡਰਾਂ ਨੂੰ ਸੇਵਾਵਾਂ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਡੋਮੇਨਾਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਸਾਨੂੰ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ google-analytics.cm ਡੋਮੇਨ ਦੇ ਰੂਪ ਵਿੱਚ ਉਸੇ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਰਜਿਸਟਰ ਕੀਤਾ ਗਿਆ ਸੀ cardz.vc. ਡੋਮੇਨ cardz.vc ਚੋਰੀ ਹੋਏ ਬੈਂਕ ਕਾਰਡ ਕਾਰਡਸਰਫਸ (ਫਲਾਈਸਰਫਸ) ਵੇਚਣ ਵਾਲੇ ਸਟੋਰ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਨੇ ਭੂਮੀਗਤ ਵਪਾਰ ਪਲੇਟਫਾਰਮ ਅਲਫਾਬੇ ਦੀ ਗਤੀਵਿਧੀ ਦੇ ਦਿਨਾਂ ਵਿੱਚ ਇੱਕ ਸਨੀਫਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਚੋਰੀ ਕੀਤੇ ਬੈਂਕ ਕਾਰਡ ਵੇਚਣ ਵਾਲੇ ਸਟੋਰ ਵਜੋਂ ਪ੍ਰਸਿੱਧੀ ਪ੍ਰਾਪਤ ਕੀਤੀ ਸੀ।

ਡੋਮੇਨ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ analytical.is, ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਸਨਿਫਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਂਦੇ ਡੋਮੇਨਾਂ ਦੇ ਸਮਾਨ ਸਰਵਰ 'ਤੇ ਸਥਿਤ, ਗਰੁੱਪ-ਆਈਬੀ ਮਾਹਿਰਾਂ ਨੇ ਕੁਕੀ ਸਟੀਲਰ ਲੌਗਸ ਵਾਲੀ ਇੱਕ ਫਾਈਲ ਖੋਜੀ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਡਿਵੈਲਪਰ ਦੁਆਰਾ ਛੱਡ ਦਿੱਤੀ ਗਈ ਜਾਪਦੀ ਹੈ। ਲੌਗ ਵਿੱਚ ਇੰਦਰਾਜ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਇੱਕ ਡੋਮੇਨ ਸ਼ਾਮਲ ਹੈ iozoz.com, ਜੋ ਪਹਿਲਾਂ 2016 ਵਿੱਚ ਸਰਗਰਮ ਸਨੀਫਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ, ਇਹ ਡੋਮੇਨ ਪਹਿਲਾਂ ਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਇੱਕ ਸਨਿਫਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਚੋਰੀ ਕੀਤੇ ਕਾਰਡਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਇਹ ਡੋਮੇਨ ਇੱਕ ਈਮੇਲ ਪਤੇ 'ਤੇ ਰਜਿਸਟਰ ਕੀਤਾ ਗਿਆ ਸੀ [ਈਮੇਲ ਸੁਰੱਖਿਅਤ], ਜਿਸਦੀ ਵਰਤੋਂ ਡੋਮੇਨ ਰਜਿਸਟਰ ਕਰਨ ਲਈ ਵੀ ਕੀਤੀ ਜਾਂਦੀ ਸੀ cardz.su и cardz.vc, ਕਾਰਡਿੰਗ ਸਟੋਰ Cardsurfs ਨਾਲ ਸਬੰਧਤ.

ਪ੍ਰਾਪਤ ਕੀਤੇ ਡੇਟਾ ਦੇ ਅਧਾਰ 'ਤੇ, ਇਹ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਸਨੀਫਰਾਂ ਦਾ ਜੀ-ਵਿਸ਼ਲੇਸ਼ਣ ਪਰਿਵਾਰ ਅਤੇ ਬੈਂਕ ਕਾਰਡ ਕਾਰਡਸਰਫ ਵੇਚਣ ਵਾਲੇ ਭੂਮੀਗਤ ਸਟੋਰ ਦਾ ਪ੍ਰਬੰਧਨ ਉਹੀ ਲੋਕਾਂ ਦੁਆਰਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਸਟੋਰ ਦੀ ਵਰਤੋਂ ਸਨੀਫਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਚੋਰੀ ਕੀਤੇ ਬੈਂਕ ਕਾਰਡਾਂ ਨੂੰ ਵੇਚਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਬੁਨਿਆਦੀ ਢਾਂਚਾ

ਡੋਮੈਨ	ਖੋਜ/ਦਿੱਖ ਦੀ ਮਿਤੀ
iozoz.com	08.04.2016
dittm.org	10.09.2016
jquery-js.com	02.01.2017
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytical.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
analytical.is	28.12.2018
googlc-analytics.cm	17.01.2019

ਇਲਮ ਪਰਿਵਾਰ

Illum Magento CMS ਚਲਾ ਰਹੇ ਔਨਲਾਈਨ ਸਟੋਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਸੁੰਘਣ ਵਾਲਿਆਂ ਦਾ ਇੱਕ ਪਰਿਵਾਰ ਹੈ। ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਪੇਸ਼ ਕਰਨ ਤੋਂ ਇਲਾਵਾ, ਇਸ ਸਨਿਫਰ ਦੇ ਸੰਚਾਲਕ ਪੂਰੇ ਫਰਜ਼ੀ ਭੁਗਤਾਨ ਫਾਰਮਾਂ ਦੀ ਸ਼ੁਰੂਆਤ ਵੀ ਕਰਦੇ ਹਨ ਜੋ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਗੇਟਾਂ ਨੂੰ ਡੇਟਾ ਭੇਜਦੇ ਹਨ।

ਇਸ ਸਨੀਫਰ ਦੇ ਆਪਰੇਟਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਨੈਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦੇ ਸਮੇਂ, ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਖਤਰਨਾਕ ਸਕ੍ਰਿਪਟਾਂ, ਸ਼ੋਸ਼ਣ, ਜਾਅਲੀ ਭੁਗਤਾਨ ਫਾਰਮ, ਅਤੇ ਨਾਲ ਹੀ ਪ੍ਰਤੀਯੋਗੀਆਂ ਤੋਂ ਖਤਰਨਾਕ ਸਨੀਫਰਾਂ ਦੇ ਨਾਲ ਉਦਾਹਰਣਾਂ ਦਾ ਸੰਗ੍ਰਹਿ ਨੋਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਸਮੂਹ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਡੋਮੇਨ ਨਾਮਾਂ ਦੀ ਦਿੱਖ ਦੀਆਂ ਮਿਤੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਅਧਾਰ ਤੇ, ਇਹ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਮੁਹਿੰਮ 2016 ਦੇ ਅੰਤ ਵਿੱਚ ਸ਼ੁਰੂ ਹੋਈ ਸੀ।

ਇਲਮ ਨੂੰ ਇੱਕ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਕੋਡ ਵਿੱਚ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ

ਖੋਜੇ ਗਏ ਸਨੀਫਰ ਦੇ ਪਹਿਲੇ ਸੰਸਕਰਣਾਂ ਨੂੰ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਸਮਝੌਤਾ ਕੀਤੀ ਸਾਈਟ ਦੇ ਕੋਡ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਨੂੰ ਚੋਰੀ ਕੀਤਾ ਡਾਟਾ ਭੇਜਿਆ ਗਿਆ ਸੀ cdn.illum[.]pw/records.php, ਗੇਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਸੀ ਅਧਾਰ xNUMX.

ਬਾਅਦ ਵਿੱਚ, ਸੁੰਘਣ ਵਾਲੇ ਦੇ ਇੱਕ ਪੈਕ ਕੀਤੇ ਸੰਸਕਰਣ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਜੋ ਇੱਕ ਵੱਖਰੇ ਗੇਟ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ - records.nstatistics[.]com/records.php.

ਦੇ ਅਨੁਸਾਰ ਰਿਪੋਰਟ ਵਿਲੇਮ ਡੀ ਗਰੂਟ, ਉਹੀ ਮੇਜ਼ਬਾਨ ਸਨੀਫਰ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਜਿਸਨੂੰ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਸੀ ਸਾਇਟ ਮੈਗਜ਼ੀਨਾ, ਜਰਮਨ ਸਿਆਸੀ ਪਾਰਟੀ CSU ਦੀ ਮਲਕੀਅਤ ਹੈ।

ਹਮਲਾਵਰਾਂ ਦੀ ਵੈੱਬਸਾਈਟ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ

ਗਰੁੱਪ-ਆਈਬੀ ਦੇ ਮਾਹਿਰਾਂ ਨੇ ਇਸ ਅਪਰਾਧਿਕ ਸਮੂਹ ਦੁਆਰਾ ਟੂਲ ਸਟੋਰ ਕਰਨ ਅਤੇ ਚੋਰੀ ਕੀਤੀ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਇੱਕ ਵੈਬਸਾਈਟ ਦੀ ਖੋਜ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ।

ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ 'ਤੇ ਮਿਲੇ ਸਾਧਨਾਂ ਵਿੱਚ ਲੀਨਕਸ OS ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣ ਲਈ ਸਕ੍ਰਿਪਟਾਂ ਅਤੇ ਸ਼ੋਸ਼ਣ ਸਨ: ਉਦਾਹਰਨ ਲਈ, ਮਾਈਕ ਜ਼ੁਮਕ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤੀ ਗਈ ਲੀਨਕਸ ਪ੍ਰੀਵਿਲੇਜ ਐਸਕੇਲੇਸ਼ਨ ਚੈੱਕ ਸਕ੍ਰਿਪਟ, ਅਤੇ ਨਾਲ ਹੀ CVE-2009-1185 ਲਈ ਇੱਕ ਸ਼ੋਸ਼ਣ।

ਹਮਲਾਵਰਾਂ ਨੇ ਔਨਲਾਈਨ ਸਟੋਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਦੋ ਕਾਰਨਾਮੇ ਵਰਤੇ: первый ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਲਗਾਉਣ ਦੇ ਸਮਰੱਥ core_config_data CVE-2016-4010 ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ, ਦੂਜਾ CMS Magento ਲਈ ਪਲੱਗਇਨਾਂ ਵਿੱਚ ਇੱਕ RCE ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ, ਇੱਕ ਕਮਜ਼ੋਰ ਵੈੱਬ ਸਰਵਰ 'ਤੇ ਆਰਬਿਟਰੇਰੀ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਨਾਲ ਹੀ, ਸਰਵਰ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਸਨੀਫਰਾਂ ਅਤੇ ਜਾਅਲੀ ਭੁਗਤਾਨ ਫਾਰਮਾਂ ਦੇ ਵੱਖ-ਵੱਖ ਨਮੂਨੇ ਲੱਭੇ ਗਏ ਸਨ, ਜਿਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਹੈਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਤੋਂ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਸੀ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੀ ਸੂਚੀ ਤੋਂ ਦੇਖ ਸਕਦੇ ਹੋ, ਕੁਝ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਹਰੇਕ ਹੈਕ ਕੀਤੀ ਸਾਈਟ ਲਈ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਬਣਾਇਆ ਗਿਆ ਸੀ, ਜਦੋਂ ਕਿ ਕੁਝ CMS ਅਤੇ ਭੁਗਤਾਨ ਗੇਟਵੇ ਲਈ ਇੱਕ ਵਿਆਪਕ ਹੱਲ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਉਦਾਹਰਨ ਲਈ, ਸਕ੍ਰਿਪਟਾਂ segapay_standart.js и segapay_onpage.js ਸੇਜ ਪੇ ਭੁਗਤਾਨ ਗੇਟਵੇ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਾਈਟਾਂ 'ਤੇ ਲਾਗੂ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ਵੱਖ-ਵੱਖ ਭੁਗਤਾਨ ਗੇਟਵੇ ਲਈ ਸਕ੍ਰਿਪਟਾਂ ਦੀ ਸੂਚੀ

ਸਕ੍ਰਿਪਟ	ਭੁਗਤਾਨ ਗੇਟਵੇ
sr.illum[.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/ottolengi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum[.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum[.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum[.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum[.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

ਹੋਸਟ ਹੁਣੇ ਭੁਗਤਾਨ ਕਰੋ[.]tk, ਇੱਕ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਇੱਕ ਗੇਟ ਵਜੋਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ payment_forminsite.js, ਦੇ ਰੂਪ ਵਿੱਚ ਖੋਜਿਆ ਗਿਆ ਸੀ subjectAltName CloudFlare ਸੇਵਾ ਨਾਲ ਸਬੰਧਤ ਕਈ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਹੋਸਟ ਵਿੱਚ ਇੱਕ ਸਕ੍ਰਿਪਟ ਸੀ evil.js. ਸਕ੍ਰਿਪਟ ਦੇ ਨਾਮ ਦੁਆਰਾ ਨਿਰਣਾ ਕਰਦੇ ਹੋਏ, ਇਸਦੀ ਵਰਤੋਂ CVE-2016-4010 ਦੇ ਸ਼ੋਸ਼ਣ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਜਿਸਦਾ ਧੰਨਵਾਦ CMS Magento ਚਲਾਉਣ ਵਾਲੀ ਸਾਈਟ ਦੇ ਫੁੱਟਰ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਇੰਜੈਕਟ ਕਰਨਾ ਸੰਭਵ ਹੈ। ਹੋਸਟ ਨੇ ਇਸ ਸਕ੍ਰਿਪਟ ਨੂੰ ਗੇਟ ਵਜੋਂ ਵਰਤਿਆ ਹੈ request.requestnet[.]tkਹੋਸਟ ਵਾਂਗ ਹੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰ ਰਿਹਾ ਹੈ ਹੁਣੇ ਭੁਗਤਾਨ ਕਰੋ[.]tk.

ਜਾਅਲੀ ਭੁਗਤਾਨ ਫਾਰਮ

ਹੇਠਾਂ ਦਿੱਤਾ ਚਿੱਤਰ ਕਾਰਡ ਡੇਟਾ ਦਾਖਲ ਕਰਨ ਲਈ ਇੱਕ ਫਾਰਮ ਦੀ ਇੱਕ ਉਦਾਹਰਣ ਦਿਖਾਉਂਦਾ ਹੈ। ਇਸ ਫਾਰਮ ਦੀ ਵਰਤੋਂ ਆਨਲਾਈਨ ਸਟੋਰ 'ਚ ਘੁਸਪੈਠ ਕਰਨ ਅਤੇ ਕਾਰਡ ਡਾਟਾ ਚੋਰੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਸੀ।

ਨਿਮਨਲਿਖਤ ਚਿੱਤਰ ਇੱਕ ਜਾਅਲੀ PayPal ਭੁਗਤਾਨ ਫਾਰਮ ਦੀ ਇੱਕ ਉਦਾਹਰਨ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਸਦੀ ਵਰਤੋਂ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਇਸ ਭੁਗਤਾਨ ਵਿਧੀ ਨਾਲ ਸਾਈਟਾਂ ਵਿੱਚ ਘੁਸਪੈਠ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ।

ਬੁਨਿਆਦੀ ਢਾਂਚਾ

ਡੋਮੈਨ	ਖੋਜ/ਦਿੱਖ ਦੀ ਮਿਤੀ
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paypal.cf	04/09/2017
requestnet.tk	28/06/2017

ਕੌਫੀਮੋਕੋ ਪਰਿਵਾਰ

ਸਨੀਫਰਾਂ ਦਾ CoffeMokko ਪਰਿਵਾਰ, ਔਨਲਾਈਨ ਸਟੋਰ ਉਪਭੋਗਤਾਵਾਂ ਤੋਂ ਬੈਂਕ ਕਾਰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਘੱਟੋ ਘੱਟ ਮਈ 2017 ਤੋਂ ਵਰਤੋਂ ਵਿੱਚ ਹੈ। ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ, ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੇ ਇਸ ਪਰਿਵਾਰ ਦੇ ਸੰਚਾਲਕ ਅਪਰਾਧਿਕ ਸਮੂਹ ਗਰੁੱਪ 1 ਹਨ, ਜੋ 2016 ਵਿੱਚ RiskIQ ਮਾਹਿਰਾਂ ਦੁਆਰਾ ਵਰਣਿਤ ਕੀਤਾ ਗਿਆ ਹੈ। CMS ਚਲਾਉਣ ਵਾਲੀਆਂ ਸਾਈਟਾਂ ਜਿਵੇਂ ਕਿ Magento, OpenCart, WordPress, osCommerce, ਅਤੇ Shopify 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਗਿਆ ਸੀ।

CoffeMokko ਨੂੰ ਇੱਕ ਔਨਲਾਈਨ ਸਟੋਰ ਦੇ ਕੋਡ ਵਿੱਚ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ

ਇਸ ਪਰਿਵਾਰ ਦੇ ਸੰਚਾਲਕ ਹਰੇਕ ਲਾਗ ਲਈ ਵਿਲੱਖਣ ਸਨੀਫਰ ਬਣਾਉਂਦੇ ਹਨ: ਸਨਿਫਰ ਫਾਈਲ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਥਿਤ ਹੈ ਝਰੋਖੇ ਜ js ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ 'ਤੇ. ਸਾਈਟ ਕੋਡ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨਾ ਸੁੰਘਣ ਵਾਲੇ ਦੇ ਸਿੱਧੇ ਲਿੰਕ ਰਾਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਸਨੀਫਰ ਕੋਡ ਉਹਨਾਂ ਫਾਰਮ ਖੇਤਰਾਂ ਦੇ ਨਾਮਾਂ ਨੂੰ ਹਾਰਡਕੋਡ ਕਰਦਾ ਹੈ ਜਿੱਥੋਂ ਡਾਟਾ ਚੋਰੀ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਸਨਿਫਰ ਉਪਭੋਗਤਾ ਦੇ ਮੌਜੂਦਾ ਪਤੇ ਦੇ ਨਾਲ ਕੀਵਰਡਸ ਦੀ ਸੂਚੀ ਦੀ ਜਾਂਚ ਕਰਕੇ ਇਹ ਵੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਉਪਭੋਗਤਾ ਭੁਗਤਾਨ ਪੰਨੇ 'ਤੇ ਹੈ ਜਾਂ ਨਹੀਂ।

ਸਨੀਫਰ ਦੇ ਕੁਝ ਖੋਜੇ ਗਏ ਸੰਸਕਰਣਾਂ ਨੂੰ ਗੁੰਝਲਦਾਰ ਬਣਾਇਆ ਗਿਆ ਸੀ ਅਤੇ ਇਸ ਵਿੱਚ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਸਟ੍ਰਿੰਗ ਸ਼ਾਮਲ ਸੀ ਜਿਸ ਵਿੱਚ ਸਰੋਤਾਂ ਦੀ ਮੁੱਖ ਐਰੇ ਸਟੋਰ ਕੀਤੀ ਗਈ ਸੀ: ਇਸ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਫਾਰਮ ਫੀਲਡਾਂ ਦੇ ਨਾਮ ਦੇ ਨਾਲ-ਨਾਲ ਗੇਟ ਐਡਰੈੱਸ ਵੀ ਸ਼ਾਮਲ ਸੀ ਜਿਸ 'ਤੇ ਚੋਰੀ ਕੀਤਾ ਡੇਟਾ ਭੇਜਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਚੋਰੀ ਕੀਤੀ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਨੂੰ ਰਸਤੇ ਵਿੱਚ ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ 'ਤੇ ਇੱਕ ਸਕ੍ਰਿਪਟ 'ਤੇ ਭੇਜਿਆ ਗਿਆ ਸੀ /savePayment/index.php ਜਾਂ /tr/index.php. ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ, ਇਸ ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਗੇਟ ਤੋਂ ਮੁੱਖ ਸਰਵਰ ਨੂੰ ਡੇਟਾ ਭੇਜਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਸਾਰੇ ਸੁੰਘਣ ਵਾਲਿਆਂ ਤੋਂ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਦੀ ਹੈ। ਪ੍ਰਸਾਰਿਤ ਡੇਟਾ ਨੂੰ ਲੁਕਾਉਣ ਲਈ, ਪੀੜਤ ਦੀ ਸਾਰੀ ਭੁਗਤਾਨ ਜਾਣਕਾਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਧਾਰ xNUMX, ਅਤੇ ਫਿਰ ਕਈ ਅੱਖਰ ਬਦਲ ਆਉਂਦੇ ਹਨ:

• "e" ਅੱਖਰ ਨੂੰ ":" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• "w" ਚਿੰਨ੍ਹ ਨੂੰ "+" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• "o" ਅੱਖਰ ਨੂੰ "%" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• "d" ਅੱਖਰ ਨੂੰ "#" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• ਅੱਖਰ "a" ਨੂੰ "-" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• ਚਿੰਨ੍ਹ "7" ਨੂੰ "^" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• ਅੱਖਰ "h" ਨੂੰ "_" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• "T" ਚਿੰਨ੍ਹ ਨੂੰ "@" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• ਅੱਖਰ "0" ਨੂੰ "/" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ
• "Y" ਅੱਖਰ ਨੂੰ "*" ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਹੈ

ਵਰਤ ਕੇ ਏਨਕੋਡ ਕੀਤੇ ਅੱਖਰ ਬਦਲ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਅਧਾਰ xNUMX ਉਲਟਾ ਪਰਿਵਰਤਨ ਕੀਤੇ ਬਿਨਾਂ ਡੇਟਾ ਨੂੰ ਡੀਕੋਡ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਇਹ ਉਹ ਹੈ ਜੋ ਸਨਿਫਰ ਕੋਡ ਦਾ ਇੱਕ ਟੁਕੜਾ ਜਿਸਨੂੰ ਅਸ਼ਲੀਲ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਵਿਸ਼ਲੇਸ਼ਣ

ਸ਼ੁਰੂਆਤੀ ਮੁਹਿੰਮਾਂ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਨੇ ਜਾਇਜ਼ ਔਨਲਾਈਨ ਸ਼ਾਪਿੰਗ ਸਾਈਟਾਂ ਦੇ ਸਮਾਨ ਡੋਮੇਨ ਨਾਮ ਰਜਿਸਟਰ ਕੀਤੇ। ਉਹਨਾਂ ਦਾ ਡੋਮੇਨ ਇੱਕ ਪ੍ਰਤੀਕ ਜਾਂ ਕਿਸੇ ਹੋਰ TLD ਦੁਆਰਾ ਜਾਇਜ਼ ਇੱਕ ਤੋਂ ਵੱਖਰਾ ਹੋ ਸਕਦਾ ਹੈ। ਰਜਿਸਟਰਡ ਡੋਮੇਨਾਂ ਦੀ ਵਰਤੋਂ ਸਨਿਫਰ ਕੋਡ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸਦਾ ਇੱਕ ਲਿੰਕ ਸਟੋਰ ਕੋਡ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤਾ ਗਿਆ ਸੀ।

ਇਸ ਸਮੂਹ ਨੇ ਪ੍ਰਸਿੱਧ jQuery ਪਲੱਗਇਨਾਂ (slickjs[.]org ਪਲੱਗਇਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਸਾਈਟਾਂ ਲਈ slick.js), ਭੁਗਤਾਨ ਗੇਟਵੇ (sagecdn[.]org ਸੇਜ ਪੇ ਭੁਗਤਾਨ ਪ੍ਰਣਾਲੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਸਾਈਟਾਂ ਲਈ)।

ਬਾਅਦ ਵਿੱਚ, ਸਮੂਹ ਨੇ ਡੋਮੇਨ ਬਣਾਉਣੇ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੇ ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮਾਂ ਦਾ ਸਟੋਰ ਦੇ ਡੋਮੇਨ ਜਾਂ ਸਟੋਰ ਦੇ ਥੀਮ ਨਾਲ ਕੋਈ ਲੈਣਾ-ਦੇਣਾ ਨਹੀਂ ਸੀ।

ਹਰੇਕ ਡੋਮੇਨ ਉਸ ਸਾਈਟ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਜਿਸ 'ਤੇ ਡਾਇਰੈਕਟਰੀ ਬਣਾਈ ਗਈ ਸੀ /js ਜ /src. ਇਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਨਿਫਰ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਸਟੋਰ ਕੀਤਾ ਗਿਆ ਸੀ: ਹਰੇਕ ਨਵੀਂ ਲਾਗ ਲਈ ਇੱਕ ਸੁੰਘਣ ਵਾਲਾ। ਸਨੀਫਰ ਨੂੰ ਇੱਕ ਸਿੱਧੇ ਲਿੰਕ ਰਾਹੀਂ ਵੈਬਸਾਈਟ ਕੋਡ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਬਹੁਤ ਘੱਟ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਨੇ ਵੈਬਸਾਈਟ ਫਾਈਲਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਸੋਧਿਆ ਅਤੇ ਇਸ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਸ਼ਾਮਲ ਕੀਤਾ।

ਕੋਡ ਵਿਸ਼ਲੇਸ਼ਣ

ਪਹਿਲਾ ਗੁੰਝਲਦਾਰ ਐਲਗੋਰਿਦਮ

ਇਸ ਪਰਿਵਾਰ ਦੇ ਸਨੀਫਰਾਂ ਦੇ ਕੁਝ ਖੋਜੇ ਗਏ ਨਮੂਨਿਆਂ ਵਿੱਚ, ਕੋਡ ਨੂੰ ਗੁੰਝਲਦਾਰ ਬਣਾਇਆ ਗਿਆ ਸੀ ਅਤੇ ਇਸ ਵਿੱਚ ਸਨਿਫਰ ਦੇ ਕੰਮ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ ਐਨਕ੍ਰਿਪਟਡ ਡੇਟਾ ਸ਼ਾਮਲ ਸੀ: ਖਾਸ ਤੌਰ 'ਤੇ, ਸਨਿਫਰ ਗੇਟ ਦਾ ਪਤਾ, ਭੁਗਤਾਨ ਫਾਰਮ ਖੇਤਰਾਂ ਦੀ ਸੂਚੀ, ਅਤੇ ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਜਾਅਲੀ ਕੋਡ ਭੁਗਤਾਨ ਫਾਰਮ. ਫੰਕਸ਼ਨ ਦੇ ਅੰਦਰ ਕੋਡ ਵਿੱਚ, ਸਰੋਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੇ ਗਏ ਸਨ XOR ਕੁੰਜੀ ਦੁਆਰਾ ਜੋ ਉਸੇ ਫੰਕਸ਼ਨ ਲਈ ਇੱਕ ਦਲੀਲ ਵਜੋਂ ਪਾਸ ਕੀਤੀ ਗਈ ਸੀ।

ਢੁਕਵੀਂ ਕੁੰਜੀ ਨਾਲ ਸਟ੍ਰਿੰਗ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਕੇ, ਹਰੇਕ ਨਮੂਨੇ ਲਈ ਵਿਲੱਖਣ, ਤੁਸੀਂ ਇੱਕ ਸਟਰਿੰਗ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ ਜਿਸ ਵਿੱਚ ਸਨਿਫਰ ਕੋਡ ਦੀਆਂ ਸਾਰੀਆਂ ਸਤਰਾਂ ਨੂੰ ਇੱਕ ਵਿਭਾਜਕ ਅੱਖਰ ਦੁਆਰਾ ਵੱਖ ਕੀਤਾ ਗਿਆ ਹੈ।

ਦੂਸਰਾ ਗੁੰਝਲਦਾਰ ਐਲਗੋਰਿਦਮ

ਇਸ ਪਰਿਵਾਰ ਦੇ ਸੁੰਘਣ ਵਾਲਿਆਂ ਦੇ ਬਾਅਦ ਦੇ ਨਮੂਨਿਆਂ ਵਿੱਚ, ਇੱਕ ਵੱਖਰੀ ਗੁੰਝਲਦਾਰ ਵਿਧੀ ਵਰਤੀ ਗਈ ਸੀ: ਇਸ ਕੇਸ ਵਿੱਚ, ਇੱਕ ਸਵੈ-ਲਿਖਤ ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡੇਟਾ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਸਨਿਫਰ ਨੂੰ ਕੰਮ ਕਰਨ ਲਈ ਲੋੜੀਂਦੇ ਐਨਕ੍ਰਿਪਟਡ ਡੇਟਾ ਵਾਲੀ ਇੱਕ ਸਤਰ ਨੂੰ ਡੀਕ੍ਰਿਪਸ਼ਨ ਫੰਕਸ਼ਨ ਲਈ ਇੱਕ ਦਲੀਲ ਵਜੋਂ ਪਾਸ ਕੀਤਾ ਗਿਆ ਸੀ।

ਬ੍ਰਾਊਜ਼ਰ ਕੰਸੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਤੁਸੀਂ ਏਨਕ੍ਰਿਪਟ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਸਨਿਫਰ ਸਰੋਤਾਂ ਵਾਲੀ ਇੱਕ ਐਰੇ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ।

ਸ਼ੁਰੂਆਤੀ MageCart ਹਮਲਿਆਂ ਨਾਲ ਕਨੈਕਸ਼ਨ

ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਇੱਕ ਗੇਟਵੇ ਵਜੋਂ ਗਰੁੱਪ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਇੱਕ ਡੋਮੇਨ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਇਹ ਪਾਇਆ ਗਿਆ ਕਿ ਇਸ ਡੋਮੇਨ ਨੇ ਕ੍ਰੈਡਿਟ ਕਾਰਡ ਦੀ ਚੋਰੀ ਲਈ ਇੱਕ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਹੋਸਟ ਕੀਤਾ ਹੈ, ਜੋ ਕਿ ਗਰੁੱਪ 1 ਦੁਆਰਾ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਪਹਿਲੇ ਸਮੂਹਾਂ ਵਿੱਚੋਂ ਇੱਕ, ਖੋਜਿਆ RiskIQ ਮਾਹਿਰਾਂ ਦੁਆਰਾ।

ਸਨਿਫਰਾਂ ਦੇ ਕੌਫੇਮੋਕੋ ਪਰਿਵਾਰ ਦੇ ਮੇਜ਼ਬਾਨ 'ਤੇ ਦੋ ਫਾਈਲਾਂ ਮਿਲੀਆਂ:

• mage.js — ਗੇਟ ਐਡਰੈੱਸ ਨਾਲ ਗਰੁੱਪ 1 ਸਨਿਫਰ ਕੋਡ ਵਾਲੀ ਫਾਈਲ js-cdn.link
• mag.php - ਸਨਿਫਰ ਦੁਆਰਾ ਚੋਰੀ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ PHP ਸਕ੍ਰਿਪਟ

mage.js ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ
ਇਹ ਵੀ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਸੀ ਕਿ ਸਨੀਫਰਾਂ ਦੇ CoffeMokko ਪਰਿਵਾਰ ਦੇ ਪਿੱਛੇ ਸਮੂਹ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਸਭ ਤੋਂ ਪੁਰਾਣੇ ਡੋਮੇਨ ਮਈ 17, 2017 ਨੂੰ ਰਜਿਸਟਰ ਕੀਤੇ ਗਏ ਸਨ:

• link-js[.]ਲਿੰਕ
• info-js[.]ਲਿੰਕ
• track-js[.]ਲਿੰਕ
• ਨਕਸ਼ਾ-ਜੇਐਸ[.]ਲਿੰਕ
• smart-js[.]ਲਿੰਕ

ਇਹਨਾਂ ਡੋਮੇਨ ਨਾਮਾਂ ਦਾ ਫਾਰਮੈਟ ਗਰੁੱਪ 1 ਡੋਮੇਨ ਨਾਮਾਂ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਜੋ 2016 ਦੇ ਹਮਲਿਆਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਨ।

ਖੋਜੇ ਗਏ ਤੱਥਾਂ ਦੇ ਆਧਾਰ 'ਤੇ, ਇਹ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਕੋਫੇਮੋਕੋ ਸਨਿਫਰਾਂ ਅਤੇ ਅਪਰਾਧਿਕ ਸਮੂਹ ਗਰੁੱਪ 1 ਦੇ ਆਪਰੇਟਰਾਂ ਵਿਚਕਾਰ ਕੋਈ ਸਬੰਧ ਹੈ। ਸੰਭਵ ਤੌਰ 'ਤੇ, CoffeMokko ਆਪਰੇਟਰਾਂ ਨੇ ਕਾਰਡ ਚੋਰੀ ਕਰਨ ਲਈ ਆਪਣੇ ਪੂਰਵਜਾਂ ਤੋਂ ਟੂਲ ਅਤੇ ਸੌਫਟਵੇਅਰ ਉਧਾਰ ਲਏ ਹੋਣਗੇ। ਹਾਲਾਂਕਿ, ਇਹ ਵਧੇਰੇ ਸੰਭਾਵਨਾ ਹੈ ਕਿ ਸਨੀਫਰਾਂ ਦੇ ਕੌਫੇਮੋਕੋ ਪਰਿਵਾਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਪਿੱਛੇ ਅਪਰਾਧਿਕ ਸਮੂਹ ਉਹੀ ਲੋਕ ਹਨ ਜਿਨ੍ਹਾਂ ਨੇ ਗਰੁੱਪ 1 ਦੇ ਹਮਲੇ ਕੀਤੇ ਸਨ। ਅਪਰਾਧਿਕ ਸਮੂਹ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਬਾਰੇ ਪਹਿਲੀ ਰਿਪੋਰਟ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਤੋਂ ਬਾਅਦ, ਉਨ੍ਹਾਂ ਦੇ ਸਾਰੇ ਡੋਮੇਨ ਨਾਮ ਸਨ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਅਤੇ ਟੂਲਸ ਦਾ ਵਿਸਥਾਰ ਨਾਲ ਅਧਿਐਨ ਕੀਤਾ ਗਿਆ ਅਤੇ ਵਰਣਨ ਕੀਤਾ ਗਿਆ। ਸਮੂਹ ਨੂੰ ਆਪਣੇ ਹਮਲਿਆਂ ਨੂੰ ਜਾਰੀ ਰੱਖਣ ਅਤੇ ਅਣਪਛਾਤੇ ਰਹਿਣ ਲਈ ਇੱਕ ਬ੍ਰੇਕ ਲੈਣ, ਇਸਦੇ ਅੰਦਰੂਨੀ ਸਾਧਨਾਂ ਨੂੰ ਸੁਧਾਰਨ ਅਤੇ ਸਨਿਫਰ ਕੋਡ ਨੂੰ ਦੁਬਾਰਾ ਲਿਖਣ ਲਈ ਮਜਬੂਰ ਕੀਤਾ ਗਿਆ ਸੀ।

ਬੁਨਿਆਦੀ ਢਾਂਚਾ

ਡੋਮੈਨ	ਖੋਜ/ਦਿੱਖ ਦੀ ਮਿਤੀ
link-js.link	17.05.2017
info-js.link	17.05.2017
track-js.link	17.05.2017
map-js.link	17.05.2017
smart-js.link	17.05.2017
adorebeauty.org	03.09.2017
security-payment.su	03.09.2017
braincdn.org	04.09.2017
sagecdn.org	04.09.2017
slickjs.org	04.09.2017
oakandfort.org	10.09.2017
citywlnery.org	15.09.2017
dobell.su	04.10.2017
Childrensplayclothing.org	31.10.2017
jewsondirect.com	05.11.2017
shop-rnib.org	15.11.2017
closetlondon.org	16.11.2017
misshaus.org	28.11.2017
battery-force.org	01.12.2017
kik-vape.org	01.12.2017
greatfurnituretradingco.org	02.12.2017
etradesupply.org	04.12.2017
replacemyremote.org	04.12.2017
all-about-sneakers.org	05.12.2017
mage-checkout.org	05.12.2017
nililotan.org	07.12.2017
lamoodbighat.net	08.12.2017
walletgear.org	10.12.2017
dahlie.org	12.12.2017
davidsfootwear.org	20.12.2017
blackriverimaging.org	23.12.2017
exrpesso.org	02.01.2018
parks.su	09.01.2018
pmtonline.su	12.01.2018
otocap.org	15.01.2018
christohperward.org	27.01.2018
coffetea.org	31.01.2018
energycoffe.org	31.01.2018
energytea.org	31.01.2018
teacoffe.net	31.01.2018
adaptivecss.org	01.03.2018
coffemokko.com	01.03.2018
londontea.net	01.03.2018
ukcoffe.com	01.03.2018
labbe.biz	20.03.2018
batterynart.com	03.04.2018
btosports.net	09.04.2018
chicksaddlery.net	16.04.2018
paypaypay.org	11.05.2018
ar500arnor.com	26.05.2018
authorizecdn.com	28.05.2018
slickmin.com	28.05.2018
bannerbuzz.info	03.06.2018
kandypens.net	08.06.2018
mylrendyphone.com	15.06.2018
freshchat.info	01.07.2018
3lift.org	02.07.2018
abtasty.net	02.07.2018
mechat.info	02.07.2018
zoplm.com	02.07.2018
zapaljs.com	02.09.2018
foodandcot.com	15.09.2018
freshdepor.com	15.09.2018
swappastore.com	15.09.2018
verywellfitnesse.com	15.09.2018
elegrina.com	18.11.2018
majsurplus.com	19.11.2018
top5value.com	19.11.2018

ਸਰੋਤ: www.habr.com