In januari 2022 werd de webwinkel van Segway getroffen door een web supply chain-aanval – ook wel een Magecart-aanval genoemd. Bij dit soort aanvallen wordt kwaadaardige JavaScript-code toegevoegd die aan de client-side wordt geladen, ook wel bekend als third-party scripts.
Veel gangbare tools zijn third-party scripts, zoals analytics, captcha's en meer. Maar deze weg kan ook voor kwaadaardige doeleinden worden gebruikt, zoals hier het geval was.
Bij deze aanval op Segway was hun winkel opgezet op Magento. De aanvallers richtten zich op kwetsbaarheden in het CMS zelf of in een van de plugins die op de Segway-site waren geïnstalleerd. Na het binnendringen voegden ze JavaScript toe dat eruitzag als het copyright van de site, maar in werkelijkheid werd gebruikt om een externe favicon te laden.
In dat favicon-bestand was een kwaadaardig domein 'booctstrap[.]com' verborgen. Zoals te zien is op deze afbeelding van Malwarebytes, die als eerste over deze aanval berichtte:
Dat domein laadde de kwaadaardige third-party JavaScript-code die erop gericht was creditcardgegevens van gebruikers te onderscheppen.
Zoals ook recentelijk te zien was bij de Polyfill-aanval van 2024.
Hoe je dit niet moet aanpakken
Threat feeds zijn nog steeds de meest gebruikte oplossing voor dit probleem, maar wij stellen dat dit niet de voorkeursmethode is. Het fundamentele probleem is dat ze niet weten wat ze niet weten. Aanvallers registreren een nieuw domein en zonder ook maar één regel code te herschrijven is de aanval weer actief. Soms dagenlang, soms wekenlang, totdat het opnieuw wordt opgemerkt en de threat feeds hun registries bijwerken.
cside is ontworpen om deze web supply chain-aanvallen te stoppen voordat ze plaatsvinden.
Door third-party scripts via een proxy te laten lopen en de volledige code-payload te analyseren voordat deze wordt geladen, detecteren we kwaadaardige code zoals in dit voorbeeld. We blokkeren deze, zodat gebruikers er geen last van hebben, en waarschuwen de website-eigenaar over de mogelijke aanval.
Daarnaast slaan we de code van de scripts op, zodat de website-eigenaar deze achteraf kan bekijken en het onderliggende probleem kan oplossen.
Er wordt te weinig aandacht besteed aan deze client-side aanvallen. Als andere beveiligingsmaatregelen falen, zoals in het geval van Segway, had deze aanval toch kunnen worden opgespoord. Door nauwkeurig te monitoren wat er in de browser van de gebruiker gebeurt, had de data-exfiltratie gezien en voorkomen moeten worden.
Regelgeving
Zoals in dit geval te zien is, is e-commerce vaak een doelwit. En de regelgeving haalt de praktijk in: met PCI DSS 4.0 is het monitoren van third-party scripts op betaalpagina's nu verplicht (vanaf maart 2025). Hoewel we dit toejuichen, raden we u aan dit op alle pagina's van uw volledige website te doen. In april 2024 legden we uitgebreid uit waarom het niet doen hiervan uw site nog steeds aanzienlijk risico oplevert.
Naast andere problemen die in dat artikel worden beschreven, kunnen kwaadwillenden misbruik maken van gecompromitteerde scripts op uw site om gebruikerssessies te kapen, gebruikers te imiteren en ongeautoriseerde acties uit te voeren. Hiermee kunnen ze mogelijk tweefactorauthenticatie omzeilen en zo alsnog uw betaalportaalbeveiliging omzeilen.
U kunt cside gebruiken om scripts op alle pagina's te monitoren en zo compliant te zijn voor dat onderdeel van PCI DSS 4.0. En u kunt uw site beschermen tegen dit soort aanvallen met cside.
