Onlangs lazen we over een nieuwe, grootschalige cyberaanvalscampagne die honderden webwinkels trof door kwetsbaarheden in scripts en plug-ins van derden te misbruiken.
Dit is een perfect voorbeeld van een 'digitale skimmer'.
Digitale skimmers zijn stukjes code die kwaadaardig worden geïnjecteerd in legitieme websites. Ze zijn gericht op persoonlijke gegevens en creditcardinformatie.
Dit probleem neemt toe en is een van de redenen waarom cside is opgericht. Onze proxy kan deze kwaadaardige code detecteren en voorkomen dat deze gebruikers op websites treft.
Deze code wordt geladen aan de client-side (de browser) van de gebruiker, in plaats van op de server van de website. Dat maakt het bijzonder moeilijk te detecteren, omdat de meeste websites geen tool zoals cside hebben om de client-side ervaring van hun gebruikers te beschermen.
De meeste van onze concurrenten controleren deze code nadat deze al in de browser van de gebruiker is geladen — ze voorkomen de aanval dus niet, maar waarschuwen alleen de betrokken website. Wij laden alle scripts eerst in een proxy en serveren ze pas aan de gebruiker nadat ze als veilig zijn beoordeeld. Waar mogelijk optimaliseren we scripts ook, zodat ze sneller worden geleverd dan via een Content Delivery Network (CDN), waardoor latentieproblemen worden vermeden. In de praktijk verhogen we de leveringssnelheid van deze scripts zelfs vaak.
Wat er bij deze aanval gebeurde
Deze aanval werd bekendgemaakt door MalwareBytes en was tot voor kort de meest recente in een reeks aanvallen op e-commercesites die gebruikmaken van Magento.
We hebben hier destijds niet over bericht, omdat geen van onze gebruikers momenteel Magento gebruikt.
In ander nieuws merkten we onlangs dat Malwarebytes(.)fr was ingericht als een domeinverkooppagina met een IP-logger. Die stuurde de verzamelde gegevens door naar een Discord-webhook. De webhook werd snel verwijderd of verbannen van Discord. Lees hier waarom verlopen domeinen een groot probleem kunnen zijn en vaak worden gebruikt bij dit soort aanvallen.
Hier is bewijs van die webhook:
Terug naar het verhaal.
Een web supply chain-aanval zoals deze vindt plaats doordat aanvallers Magento (of een plug-in daarin) compromitteren en op afstand simpelweg één regel JavaScript invoegen. Bij de meeste van deze aanvallen — en ook bij deze meest recente — passen de aanvallers een legitiem script aan om zo lang mogelijk onopgemerkt te blijven.
De code is ook geobfusceerd om het nog moeilijker te maken te begrijpen wat er precies wordt uitgevoerd. Dit is een legitieme manier om code te beschermen, en bedrijven gebruiken dit regelmatig om hun code te beveiligen tegen kopiëren of manipulatie.
Vervolgens is de aanval vrij eenvoudig. De code laadt een functie die informatie ophaalt van de betreffende site — informatie die wordt ingevoerd in allerlei formulieren. Het domein in de kwaadaardige code ontvangt die informatie, waarna de aanvallers er toegang toe hebben.
Bij deze aanval richtten ze zich op creditcardinformatie van nietsvermoedende mensen die online aankopen deden. Die mensen kunnen er zelf weinig aan doen, maar de websites waarop de aanval plaatsvindt zijn aansprakelijk en ontvangen vaak boetes van PCI DSS en soms ook rechtszaken.
In dit geval werd de betaalstroom onderbroken tijdens het afrekenen. Er werd een nep-betalingsmethodenvenster ingevoegd en mensen vulden dit formulier in in plaats van het echte. Dit werd gedaan via een eenvoudige image-tag die in één enkele JavaScript-regel was verwerkt.
Dit ziet er zo uit: {domain}.{shop|online)/img/
Kwaadaardige domeinen die tot nu toe bij deze aanvallen zijn aangetroffen:
- codcraft(.)shop
- codemingle(.)shop
- datawiz(.)shop
- deslgnpro(.)shop
- happywave(.)shop
- luckipath(.)shop
- pixelsmith(.)shop
- salesguru(.)online
- statlstic(.)shop
- statmaster(.)shop
- trendset(.)website
- vodog(.)shop
- artvislon(.)shop
- statistall(.)com
- analytlx(.)shop
Dit is wederom een aanval in een reeks die de directe noodzaak onderstreept voor bedrijven om de client-side ervaring van hun gebruikers te beveiligen. Als sites een tool zoals cside hadden geïnstalleerd, zouden hun gebruikers beschermd zijn geweest.
Regelgeving is er al
Vanaf maart 2025 verplicht PCI DSS 4.0 websites met online afrekenpagina's om scripts van derden op hun betaalpagina's te monitoren.
Wij pleiten ervoor om deze scripts niet alleen te monitoren, maar ook te beveiligen voor volledige veiligheid. We schreven hier over het risico van het alleen beveiligen van betaalpagina's en niet de gehele website. Aanvallers passen zich eenvoudig aan en met een snelle doorlooptijd zullen aanvallen waarschijnlijk toch blijven plaatsvinden.
Weet dat door cside te gebruiken, uw gehele website beschermd is.
U kunt gratis aan de slag en binnen enkele minuten beveiligd zijn.
