Carlsberg é alvo de ataque de malware "CosmicSting" no Magento

TL;DR: skimmer Magento CosmicSting da artvislon shop

• Nomeie as vítimas: Nomear as vítimas ensina o setor. Relatórios de violação anonimizados permitem que a próxima Carlsberg continue a usar a mesma versão do Magento sem correção durante mais um trimestre, porque ninguém no conselho de administração se sentiu pessoalmente exposto.
• Uma linha, caixa de pagamento falsa: Uma única linha de JavaScript, carregada a partir de artvislon[.]shop, apresentava uma caixa de pagamento falsa antes do checkout, e os threat feeds não detetaram uma campanha semelhante durante mais de dois anos. O agente da cside, ao nível do navegador, inspeciona o comportamento em runtime de cada script de terceiros antes que este consiga roubar dados de cartões.
• Aplique já o patch do Magento: Se o seu ecommerce utiliza o Magento 2.4 ou uma versão anterior, aplique já a correção para o CosmicSting. Se herdou uma stack que não consegue corrigir na totalidade, coloque inspeção de scripts em runtime à frente dela antes que chegue o próximo skimmer capaz de escapar aos crawlers.

Sem tempo? Veja o bloqueio in-browser de Magecart e skimmers da cside. Cobre tudo o que se segue numa única implementação.

O termo "Magecart" refere-se a ataques à plataforma Magento. Recentemente, foi descoberta outra campanha de grande escala a visar novamente sites Magento. Entre estes, o site da Carlsberg foi um dos comprometidos.

O padrão destes ataques é quase sempre o mesmo. Uma única linha de JavaScript carrega conteúdo a partir de um site remoto — ou seja, um script de terceiros. Esse código é depois fortemente ofuscado para atrasar ainda mais a deteção.

Neste caso, o processo de pagamento foi alterado discretamente. Foi adicionada à página da loja uma caixa de método de pagamento falsa, que era mostrada aos clientes em primeiro lugar. Ao introduzir os dados do cartão de crédito, essa informação era enviada diretamente para o atacante.

Este ataque foi apelidado de ataque "CosmicSting" e foi reportado há alguns meses. Uma análise muito detalhada e recente da Sansec pode ajudá-lo a atualizar-se sobre o assunto.

O URLScan arquivou o código que foi injetado:

O domínio https://artvislon[.]shop/img/ foi utilizado para injetar o seguinte:

A partir daí, a Malwarebytes divulgou mais informações sobre o próprio código, caso queira consultá-las. Esse código já foi removido dos sites afetados.

É interessante — e um pouco frustrante — que as empresas afetadas raramente sejam identificadas pelo nome em relatórios como estes. Embora costume haver boa intenção por detrás de manter as identidades ocultas, isso leva-nos a questionar se esse silêncio não fará parte do problema.

Se mais empresas fossem identificadas publicamente quando ocorrem ataques client-side como o CosmicSting, isso poderia aumentar a tão necessária consciencialização sobre os riscos de scripts de terceiros e malware de skimming, e evitar que outras marcas enfrentassem ataques semelhantes.

Manter estas violações em segredo abafa a mensagem transmitida a outras empresas e ao público. Quando marcas grandes e reconhecidas são vítimas, isso deveria servir de aviso para que outras empresas priorizem a sua segurança client-side.

Estas empresas têm normalmente mais recursos e equipas de segurança experientes e dedicadas. Empresas de todas as dimensões enfrentam problemas de segurança client-side e só prestam atenção ao problema quando este corre mal de forma visível e global.

Como vimos no ataque ao Polyfill, consoante o user agent, a hora do dia e o IP, um agente malicioso pode injetar um script malicioso. Esperar que um crawler de segurança detete o ataque em seu nome só vai apanhar ataques não avançados e não direcionados.

Sem esse foco sobre quem é afetado, outros no setor podem não compreender totalmente a urgência e a gravidade destes ataques.

Isso poderia incentivar uma adoção mais rápida de melhores práticas de segurança e defesas mais robustas em geral.

Embora tenham sido experimentados vários conceitos para combater este tipo de ataques, nenhum funcionou verdadeiramente. Os threat feeds são reativos e frequentemente falham por completo. Acabámos de reportar um caso em que os threat feeds não detetaram um ataque durante mais de 2 anos.

A Malwarebytes detetou o ataque graças a alguns dos seus clientes que utilizavam o plugin de deteção do navegador. Este conseguiu travar o ataque para esses poucos clientes específicos, o que o torna uma ótima solução para quem já está consciente dos perigos, mas não para quem está fora desse espaço.

Como os ataques continuam a acontecer, e uma vez que estes ataques client-side são particularmente difíceis de detetar, criámos a cside para mudar isto. O proprietário do site instala o nosso script para que este carregue primeiro, permitindo que a cside monitorize, proteja e até otimize todos os outros scripts nos seus sites. Pode começar a proteger o seu site e os seus visitantes gratuitamente.