Récemment, nous avons appris l'existence d'une nouvelle campagne de cyberattaque majeure ciblant des centaines de boutiques en ligne, exploitant des vulnérabilités dans des scripts et plugins tiers.
C'est un exemple parfait de « skimmer numérique ».
Les skimmers numériques sont des fragments de code injectés de manière malveillante dans des sites web légitimes. Ils ciblent les informations personnelles et les données de carte bancaire.
Ce problème est en pleine expansion et constitue l'une des raisons pour lesquelles cside a été créé. Notre proxy est capable de détecter ce code malveillant et d'empêcher qu'il n'affecte les utilisateurs sur les sites web.
Ce code est chargé côté client (dans le navigateur) de l'utilisateur, et non sur le serveur du site web. Cela le rend particulièrement difficile à détecter, car la plupart des sites web ne disposent pas d'un outil comme cside pour protéger l'expérience côté client de leurs utilisateurs.
La plupart de nos concurrents analysent ce code après son chargement dans le navigateur de l'utilisateur — sans bloquer l'attaque, mais en se contentant d'alerter le site concerné. Nous, nous chargeons tous les scripts d'abord dans un proxy, et ce n'est qu'une fois leur innocuité confirmée que nous les servons à l'utilisateur. Nous optimisons également les scripts lorsque c'est possible, afin de les délivrer plus rapidement qu'un réseau de diffusion de contenu (CDN), limitant ainsi toute latence. En réalité, nous augmentons souvent la vitesse de livraison de ces scripts.
Ce qui s'est passé lors de cette attaque
Cette attaque a été divulguée par MalwareBytes et était, jusqu'à récemment, la plus récente d'une série d'attaques menées contre des sites e-commerce utilisant Magento.
Nous n'en avions pas rendu compte, car aucun de nos utilisateurs ne fait tourner Magento actuellement.
Par ailleurs, nous avons récemment remarqué que Malwarebytes(.)fr avait été configuré en page de vente de domaine, avec un enregistreur d'IP. Celui-ci envoyait ensuite les données collectées vers un webhook Discord. La page a rapidement été supprimée ou bannie de Discord. Lisez ici pourquoi les domaines expirés peuvent représenter un problème majeur et sont souvent utilisés dans ce type d'attaques.
Voici la preuve de ce webhook :
Revenons au sujet.
Une attaque de ce type sur la chaîne d'approvisionnement web se produit parce que les attaquants compromettent Magento (ou un plugin Magento) et insèrent simplement une ligne de JavaScript à distance. Dans la plupart de ces attaques, et notamment dans cette dernière en date, les attaquants modifient un script légitime afin de rester indétectés le plus longtemps possible.
Le code est également obfusqué pour rendre encore plus difficile la compréhension de ce qui est exécuté. Il s'agit d'une technique légitime de protection du code, utilisée couramment par les entreprises pour empêcher que leur code soit copié ou altéré.
À partir de là, l'attaque est assez simple. Le code charge une fonction qui récupère les informations saisies sur le site et les insère dans toutes sortes de formulaires soumis. Le domaine intégré dans le code malveillant les reçoit, et les attaquants disposent alors de ces informations.
Dans cette attaque, ils ciblaient les données de carte bancaire de personnes effectuant des achats en ligne sans se méfier. Ces personnes peuvent difficilement se protéger, mais les sites sur lesquels l'attaque se produit sont responsables et reçoivent souvent des amendes de la part du PCI DSS, voire font l'objet de poursuites judiciaires.
Dans ce cas précis, le flux de paiement a été interrompu lors du passage en caisse. Un faux cadre de méthodes de paiement a été inséré, et les utilisateurs ont rempli ce formulaire frauduleux à la place du vrai. Cela a été réalisé via une simple balise image insérée dans une unique ligne de JavaScript.
Cela ressemblait à : {domain}.{shop|online)/img/
Les domaines malveillants identifiés dans ces attaques jusqu'à présent incluent :
- codcraft(.)shop
- codemingle(.)shop
- datawiz(.)shop
- deslgnpro(.)shop
- happywave(.)shop
- luckipath(.)shop
- pixelsmith(.)shop
- salesguru(.)online
- statlstic(.)shop
- statmaster(.)shop
- trendset(.)website
- vodog(.)shop
- artvislon(.)shop
- statistall(.)com
- analytlx(.)shop
Il s'agit d'une nouvelle attaque dans une série qui souligne le besoin immédiat pour les entreprises de sécuriser l'expérience côté client de leurs utilisateurs. Si les sites avaient installé un outil comme cside, leurs utilisateurs auraient été protégés.
La réglementation est là
D'ici mars 2025, PCI DSS 4.0 exige que les sites web disposant de caisses en ligne surveillent les scripts tiers sur leurs pages de paiement.
Nous préconisons non seulement de surveiller, mais aussi de sécuriser ces scripts pour être totalement protégé. Nous avons écrit ici sur les risques liés au fait de ne sécuriser que les pages de paiement et non l'ensemble du site web. Les attaquants s'adapteront simplement et, avec un délai de réaction rapide, des attaques sont susceptibles de se produire quand même.
Sachez qu'en utilisant cside, l'intégralité de votre site web est protégée.
Vous pouvez commencer gratuitement et être sécurisé en quelques minutes.
