Recentemente, soubemos de uma nova e significativa campanha de ciberataque que teve como alvo centenas de lojas online, explorando vulnerabilidades em scripts e plugins de terceiros.
Este é um exemplo perfeito de um 'skimmer digital'.
Skimmers digitais são trechos de código injetados maliciosamente em sites legítimos. Eles visam informações pessoais e de cartão de crédito.
Esse problema está em crescimento e é parte do motivo pelo qual o cside foi criado. Nosso proxy é capaz de detectar esse código malicioso e impedir que ele afete os usuários nos sites.
Esse código é carregado no lado do cliente (o navegador) do usuário, e não no servidor do site. Isso o torna especialmente difícil de detectar, já que a maioria dos sites não conta com uma ferramenta como o cside para proteger a experiência client-side de seus usuários.
A maioria dos nossos concorrentes verifica esse código depois que ele já foi carregado no navegador do usuário — ou seja, não previne o ataque, apenas alerta o site responsável. Nós carregamos todos os scripts primeiro em um proxy e, após serem considerados seguros, os entregamos ao usuário. Também otimizamos os scripts sempre que possível, para servi-los mais rapidamente do que uma Rede de Distribuição de Conteúdo (CDN), mitigando qualquer problema de latência. Na prática, muitas vezes aumentamos a velocidade de entrega desses scripts.
O que aconteceu nesse ataque
Esse ataque foi divulgado pela MalwareBytes e era, até então, o mais recente de uma série de ataques executados em sites de e-commerce que utilizam Magento.
Não reportamos sobre isso anteriormente porque nenhum dos nossos usuários utiliza Magento atualmente.
Em outras notícias, percebemos recentemente que Malwarebytes(.)fr foi configurado como uma página de venda de domínio com um registrador de IP, que enviava os dados para um webhook do Discord. O webhook foi rapidamente deletado ou banido do Discord. Leia aqui por que domínios expirados podem ser um problema enorme e são frequentemente usados nesse tipo de ataque.
Aqui está a evidência desse webhook:
Voltando ao assunto.
Um ataque à cadeia de fornecimento web como esse acontece porque os atacantes comprometem o Magento (ou um plugin do Magento) e simplesmente inserem uma linha de JavaScript remotamente. Na maioria desses casos — e também neste mais recente — os atacantes alteram um script legítimo para permanecerem sem ser detectados pelo maior tempo possível.
O código também é ofuscado para dificultar ainda mais a compreensão do que está sendo executado. Essa é uma prática legítima de proteção de código, usada por empresas o tempo todo para evitar que seu código seja copiado ou adulterado.
A partir daí, o ataque é bastante simples. O código carrega uma função que recupera informações do site onde foi inserido e as envia para todo tipo de formulário. O domínio dentro do código malicioso recebe essas informações, e os atacantes passam a tê-las em mãos.
Nesse ataque, o alvo eram informações de cartão de crédito de pessoas desavisadas realizando compras online. Há muito pouco que essas pessoas possam fazer, mas os sites onde o ataque ocorre são responsabilizados e frequentemente recebem multas do PCI DSS e, às vezes, ações judiciais.
Neste caso, o fluxo de pagamento foi interrompido durante o checkout. Um frame falso de métodos de pagamento foi inserido e as pessoas preencheram esse formulário em vez do real. Isso foi feito por meio de uma simples tag de imagem inserida em uma única linha de JavaScript.
Isso se parecia com: {domain}.{shop|online)/img/
Os domínios maliciosos identificados nesses ataques até o momento incluem:
- codcraft(.)shop
- codemingle(.)shop
- datawiz(.)shop
- deslgnpro(.)shop
- happywave(.)shop
- luckipath(.)shop
- pixelsmith(.)shop
- salesguru(.)online
- statlstic(.)shop
- statmaster(.)shop
- trendset(.)website
- vodog(.)shop
- artvislon(.)shop
- statistall(.)com
- analytlx(.)shop
Este é mais um de uma série de ataques que reforça a necessidade imediata de as empresas protegerem a experiência client-side de seus usuários. Se os sites tivessem instalado uma ferramenta como o cside, seus usuários teriam sido protegidos.
A regulamentação chegou
Até março de 2025, o PCI DSS 4.0 exige que sites com checkouts online monitorem scripts de terceiros em suas páginas de pagamento.
Defendemos não apenas o monitoramento, mas também a proteção desses scripts para garantir total segurança. Escrevemos aqui sobre o risco de proteger apenas as páginas de pagamento e não o site inteiro. Os atacantes simplesmente se adaptam e, com uma rápida mudança de abordagem, os ataques provavelmente continuarão ocorrendo.
Saiba que, ao usar o cside, a totalidade do seu site está protegida.
Você pode começar gratuitamente e estar seguro em minutos.
