cside heeft zojuist een client-side aanval gedetecteerd die al meer dan 2 jaar actief is. Het domein guyacave[.]fr verspreidt een Personal Identifiable Information (PII) skimmer-script op meerdere websites sinds augustus 2022. Controleer uw website nu en verwijder het script met dit domein onmiddellijk als u het aantreft.
Tijdens de analyse van kwaadaardige scripts kwamen we een geïnfecteerde website tegen. Op deze website is te zien dat de aanval actief is sinds augustus 2022. We hebben deze en andere getroffen websites op de hoogte gesteld.
Bij verder onderzoek kwamen we een bericht van Decoded Avast uit november 2022 tegen, waarin het domein guyacave[.]fr al als kwaadaardig werd vermeld.
Ze schrijven:
Aanvallers maakten ook misbruik van andere legitieme websites, zoals sites die kleding, schoenen, sieraden, meubels en medische benodigdheden verkopen, om hun skimming-code te hosten. Specifiek gebruikten ze guyacave[.]fr, servair[.]com en stripefaster[.]com. Aanvallers exfiltreerden betalingsgegevens via POST-verzoeken naar URL's zoals guyacave[.]fr/js/tiny_mce/themes/modern/themes.php en vergelijkbare adressen voor de andere domeinen. In sommige gevallen werd het POST-verzoek naar de geïnfecteerde e-commercesite zelf gestuurd, wat aangeeft dat de aanvaller volledige toegang heeft tot de gecompromitteerde sites. We hebben wereldwijd bijna 17.000 gebruikers beschermd tegen deze webskimmer.
De inline URL: _0x800b[140];var _0xb61ex27= new XMLHttpRequest();_0xb61ex27_0x800b[143];_0xb61ex27_0x800b[144] — in het script geeft aan dat er een XML HTTP-verzoek wordt gebruikt om de privébetalingsgegevens naar een extern eindpunt te sturen. In dit geval naar https://guyacave[.]fr/js/tiny_mce/themes/modern/themes.php.
Het script bevat functies voor het lezen en schrijven van cookies. Waarschijnlijk gebruikt om sessiecookies en andere gevoelige informatie in de browser te stelen.
We vonden ook de Math.random()-functie om dynamische elementen te genereren. Dit is precies wat third-party scripts gevaarlijk maakt en het beveiligen ervan essentieel. Elk third-party script is van nature dynamisch en kan veranderen op basis van allerlei parameters. Deze Math.random()-functie helpt om eenvoudige, op handtekeningen gebaseerde detectiemethoden te omzeilen.
De engine van cside is geavanceerder en was in staat om dit kwaadaardige script tijdens onze tests te detecteren en te blokkeren.
Tot slot manipuleert het script de gebruikersinterface van de website om bepaalde elementen te verbergen. Dit gebeurt via de eenvoudige display:none-functie, zodat een nep-betaalformulier wordt getoond in plaats van het echte.
Threat feeds zijn de voornaamste manier waarop bedrijven zich informeren over kwaadaardige domeinen die aan hun website zijn gekoppeld. Bij cside geloven we niet dat dit de beste oplossing is voor client-side beveiliging.
Reden 1 waarom threat feeds niet werken
Tot op heden hebben slechts 10 van de 96 beveiligingsleveranciers op VirusTotal dit domein als kwaadaardig gemarkeerd. Threat feeds hebben hun nut, maar schieten tekort als het gaat om client-side beveiliging. Deze aanval toont aan dat zelfs na 2 jaar de meeste feeds nog niet hebben bijgehouden. In het beste geval detecteren en waarschuwen ze achteraf. In het slechtste geval blijft de aanval jarenlang onopgemerkt.
Preventie is de volgende stap
Zelfs als het domein eerder en door meer feeds was gemarkeerd, kunnen aanvallers eenvoudig een nieuw domein zoeken dat aan hun behoeften voldoet.
Threat feeds controleren de bron — in dit geval het domein — en niet de payload van de code. Dit maakt detectie in de praktijk onmogelijk totdat iemand het handmatig meldt. Daarmee zijn threat feeds een reactieve oplossing, geen preventieve.
In onze tests was cside in staat om dit kwaadaardige script en domein te detecteren en te blokkeren. Als deze websites, of de platforms waarop ze zijn gebouwd, cside hadden gebruikt, was deze aanval onmiddellijk opgemerkt en gestopt.
Bij elke sessie laden we third-party scripts in een beveiligde proxy die de daadwerkelijke payload van het script controleert, niet alleen de bronnen en domeinen. Als we iets verdachts detecteren, worden onze klanten gewaarschuwd en wordt het script geblokkeerd zodat het niet in de browser van de websitebezoeker wordt geladen.
U kunt zich aanmelden voor cside en uw site binnen enkele minuten beveiligen.
