Новость

Скиммер кредитных карт через swap-файлы на платформе Magento

Скиммер кредитных карт через swap-файлы на платформе Magento

Citizen Sec

@CitizenSec , 23-07-2024

Новость
#Информационная безопасность
Скиммер кредитных карт через swap-файлы на платформе Magento

Злоумышленники начали использовать специальные файлы на взломанных сайтах, чтобы скрыть вредоносные программы, которые крадут данные кредитных карт. Эти программы собирают информацию о платежах и отправляют её на сайт, контролируемый хакерами.


Компания Sucuri обнаружила, что на странице оформления заказа одного из сайтов, использующих платформу Magento, вредоносное ПО выживало после нескольких попыток очистки. Программа собирала все данные, введённые в форму кредитной карты, и отправляла их на домен "amazon-analytic[.]com", зарегистрированный в феврале 2024 года.


Злоумышленники часто используют известные бренды в названиях доменов, чтобы избежать обнаружения. В данном случае они использовали временные файлы ("bootstrap.php-swapme"), чтобы загрузить вредоносный код, сохраняя оригинальный файл ("bootstrap.php") чистым.


Когда файлы редактируются напрямую через SSH, сервер создаёт временную версию файла на случай сбоя редактора, чтобы предотвратить потерю данных. Хакеры использовали этот механизм, чтобы сохранить вредоносное ПО на сервере и избежать обнаружения.


Хотя пока не ясно, как именно злоумышленники получили первоначальный доступ, предполагается, что они использовали SSH или другой терминал.


Также стало известно, что на взломанных сайтах WordPress злоумышленники устанавливают вредоносный плагин, который маскируется под легитимный плагин Wordfence. Этот плагин создаёт фальшивых администраторов и отключает Wordfence, создавая видимость нормальной работы сайта.


Чтобы защититься от таких угроз, владельцам сайтов рекомендуется:

  1. Ограничить использование протоколов FTP, sFTP и SSH только доверенными IP-адресами.
  2. Обновлять системы управления контентом и плагины.
  3. Включить двухфакторную аутентификацию (2FA).
  4. Использовать файрвол для блокировки ботов.
  5. Внедрить дополнительные меры безопасности для файла wp-config.php, такие как DISALLOW_FILE_EDIT и DISALLOW_FILE_MODS.

Вам также будет интересно

Новость
#Информационная безопасность

Вредоносные пакеты npm заражают разработчиков SSH-бэкдором

В npm обнаружены вредоносные пакеты, маскирующиеся под популярный пакет ethers.

@CitizenSec

28-10-2024
Новость
#Информационная безопасность

Новая атака позволяет хакерам откатывать Windows для взлома через закрытые уязвимости

Опубликована новая атака под названием 'Windows Downdate', которая позволяет взламывать Windows 11, понизив версию системных компонентов и используя старые уязвимости.

@CitizenSec

26-10-2024
Новость
#Информационная безопасность

Интернет-архив снова взломан

Интернет-архив (Archive.org) столкнулся со второй утечкой данных в октябре 2024 года, когда хакеры получили доступ к служебным билетам через незащищенные токены API Zendesk.

@CitizenSec

22-10-2024
Новость
#Информационная безопасность

Троян TrickMo: как фишинг атакует ваши телефоны и что вам нужно знать, чтобы защитить себя от этой угрозы?

Этот вредоносный софт использует хитрые методы, чтобы обмануть пользователей, показывая поддельный экран разблокировки.

@CitizenSec

20-10-2024
Новость
#Информационная безопасность

Как системные утилиты Windows становятся инструментом обхода защиты и угрожают вашей безопасности

Злоумышленники начали свои атаки в начале октября, и их целью является установка программы Lumma для кражи данных.

@CitizenSec

17-10-2024
Новость
#Информационная безопасность

Как GitHub, Telegram-боты и QR-коды становятся орудиями новой волны фишинговых атак

Злоумышленники используют ссылки на GitHub в фишинговых письмах, чтобы обойти меры безопасности и доставить вредоносное ПО под названием Remcos RAT.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

В Санкт-Петербурге пойманы мошенники: как они украли аккаунты и что за этим последовало?

Сотрудники уголовного розыска Петербурга задержали двух злоумышленников, которые взламывали учетные записи на портале Госуслуг и оформляли кредиты в микрофинансовых организациях.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

22 000 пакетов PyPI под угрозой: как проблема Revival Hijack может повлиять на безопасность вашего кода

Аналитики компании JFrog обнаружили новую угрозу, названную Revival Hijack.

@CitizenSec

18-09-2024
Новость
#Информационная безопасность

Казахстан в тройке лидеров дарквеба СНГ: что скрывается за завесой тайны и какие товары продаются в тени?

Недавнее исследование показало, что Республика Казахстан занимает второе место по количеству кибератак в странах СНГ, с 8% от общего числа.

@CitizenSec

16-09-2024
Новость
#Критическая уязвимость
#Информационная безопасность

Уязвимость Microsoft Copilot Studio

Эта уязвимость, известная как SSRF (server-side request forgery), могла позволить злоумышленникам получить доступ к конфиденциальным данным.

@CitizenSec

09-09-2024