Que ocurrio en Shrwaa.com
Un popular sitio de comercio electrónico en Kuwait, que ejecuta una versión desactualizada de Magento (2.4), ha sido comprometido por una inyección de JavaScript malicioso, exponiendo los datos de pago de los clientes. La vulnerabilidad, probablemente vinculada a el error CosmicSting en Magento, ha sido parcheada, pero los sitios que no se han actualizado permanecen en riesgo.
A diferencia de otros sitios afectados, Shrwaa[.]com está siendo explotado como infraestructura para ataques adicionales. Un escaneo de URL muestra numerosos sitios que hacen referencia a Shrwaa[.]com, que aloja múltiples archivos JavaScript maliciosos:
Dado que este dominio actualmente no está siendo marcado por fuentes de amenazas (un gran problema cuando se trata de ataques del lado del cliente), los atacantes lo utilizan como infraestructura y para acelerar el proceso de infectar más sitios.
Un archivo llamado jquery.js está solo ligeramente ofuscado, lo que nos da una idea de cómo funciona la inyección. Este archivo crea una página HTML simple que engaña a los usuarios para que ingresen sus datos de pago. Estas páginas falsas se superponen a los formularios de pago legítimos:
Dado que no existe un monitoreo de scripts de terceros ni prácticas de seguridad implementadas, este ataque permanece activo, y probablemente ha estado activo desde diciembre de 2023.
Los ataques siguen siendo comunes en la plataforma Magento. Estos se conocen como ataques Magecart, y algunos de los incidentes más grandes han involucrado tácticas similares. Para orientación de prevención, consulta nuestra guía de seguridad del lado del cliente para eCommerce.
Si Shrwaa[.]com hubiera tenido cside implementado, habría bloqueado el código malicioso y alertado al sitio para eliminarlo. Hemos notificado a ellos y a otros sitios sobre el ataque.
Puedes proteger tu sitio web de forma gratuita creando una cuenta de cside.
