cside acaba de detectar un ataque del lado del cliente que ha estado activo durante más de 2 años. El dominio guyacave[.]fr ha estado distribuyendo un script de robo de Información de Identificación Personal (PII) en múltiples sitios web desde agosto de 2022. Comprueba tu sitio web ahora y elimina inmediatamente cualquier script que contenga ese dominio si lo encuentras.
Durante el análisis de scripts maliciosos, encontramos un sitio web infectado por uno de ellos. En ese sitio podemos ver que ha estado activo desde agosto de 2022. Hemos notificado este ataque a ese y otros sitios web afectados.
En una investigación más profunda, encontramos una publicación de Decoded Avast de noviembre de 2022 en la que el dominio guyacave[.]fr ya era mencionado como malicioso.
Escriben:
Los atacantes también aprovecharon otros sitios legítimos, como sitios de venta de ropa, calzado, joyería, muebles y suministros médicos, para alojar su código de skimming. En concreto, utilizaron guyacave[.]fr, servair[.]com y stripefaster[.]com. Los atacantes exfiltraron datos de pago mediante solicitudes POST a URLs como guyacave[.]fr/js/tiny_mce/themes/modern/themes.php y similares para los otros dominios. En algunos casos, la solicitud POST se enviaba al propio sitio de comercio electrónico infectado, lo que indica que el atacante tiene acceso completo a los sitios comprometidos. Protegimos a casi 17.000 usuarios en todo el mundo de este webskimmer.
La URL inline: _0x800b[140];var _0xb61ex27= new XMLHttpRequest();_0xb61ex27_0x800b[143];_0xb61ex27_0x800b[144] — dentro del script indica que utiliza una solicitud XML HTTP para enviar los datos de pago privados a un endpoint externo. En este caso, https://guyacave[.]fr/js/tiny_mce/themes/modern/themes.php.
El script tiene funciones para leer y escribir cookies. Probablemente se utilizan para robar cookies de sesión y otra información sensible almacenada en el navegador.
También encontramos la función Math.random() para crear elementos dinámicos. Esto es lo que hace que los scripts de terceros sean peligrosos y que asegurarlos sea esencial. Cualquier script de terceros es inherentemente dinámico y puede cambiar en función de todo tipo de parámetros. Esta función Math.random() ayuda a evadir los métodos de detección simples basados en firmas.
El motor de cside es más avanzado y fue capaz de detectar y bloquear este script malicioso en nuestras pruebas.
Por último, el script manipula la interfaz del sitio web para ocultar ciertos elementos. Lo hace mediante la sencilla función display:none, para mostrar el formulario de pago falso en lugar del real.
Los feeds de amenazas son la principal forma en que las empresas se informan sobre dominios maliciosos vinculados en sus sitios web. En cside, no creemos que esta sea la mejor solución para la seguridad del lado del cliente.
La 1.ª razón por la que los feeds de amenazas no funcionan
Hasta la fecha, solo 10 de los 96 proveedores de seguridad en VirusTotal han marcado este dominio como malicioso. Los feeds de amenazas tienen su utilidad, pero son insuficientes para la seguridad del lado del cliente. Este ataque demuestra que incluso después de 2 años, la mayoría de los feeds no han dado con él. En el mejor de los casos, lo detectan y alertan después del hecho. En el peor, pasa desapercibido durante años.
La prevención es el siguiente paso
Aunque el dominio hubiera sido marcado antes y por más feeds, los atacantes simplemente podrían buscar un nuevo dominio que se adapte a sus necesidades.
Los feeds de amenazas se basan en verificar el origen —en este caso, el dominio—, no el payload del código. Esto hace que la detección sea prácticamente imposible hasta que alguien lo marque manualmente. Esto convierte a los feeds de amenazas en una solución reactiva, no preventiva.
En nuestras pruebas, cside fue capaz de detectar y bloquear este script y dominio maliciosos. Si estos sitios web, o las plataformas sobre las que fueron construidos, hubieran tenido cside implementado, el ataque habría sido detectado y detenido de inmediato.
En cada sesión, cargamos los scripts de terceros en un proxy seguro que verifica el payload real del script, no solo los orígenes y dominios. Si detectamos algo sospechoso, nuestros clientes reciben una alerta y el script queda bloqueado para que no se cargue en el navegador del visitante del sitio web.
Puedes registrarte en cside y proteger tu sitio en minutos.
