Les chercheurs ont attribué la campagne à trois groupes d’acteurs de la menace – connus sous le nom de Groupe X, Groupe Y et Groupe Z – qui ont profité d’une mauvaise hygiène de la sécurité des sites Web.
Modus operandi du groupe X
- Les attaquants ont exploité un service tiers défunt appelé Cockpit pour acquérir un nom de domaine et l’utiliser pour servir un script d’écrémage.
- En réenregistrant le domaine défunt et en le configurant pour distribuer du code malveillant, les attaquants ont pu compromettre plus de 40 sites de commerce électronique.
- Les données recueillies sur les sites compromis ont été encodées, cryptées, puis envoyées à un serveur d’exfiltration basé en Russie.
Modus Operandi du Groupe Y
- Le code d’écrémage utilisé par le groupe Y est très similaire à celui du groupe X, mais la méthode de distribution est différente.
- Au lieu d’utiliser un service tiers, l’acteur a injecté un script ressemblant à Google Analytics dans les pages d’accueil des victimes.
- Le script de skimmer a été conçu pour s’exécuter uniquement sur les pages de paiement et a récolté toutes les informations accessibles.
Modus Operandi du Groupe Z
- Le Groupe Z utilise des méthodologies d’attaque identiques à celles du Groupe X et du Groupe Y, à l’exception de quelques modifications dans le script et la structure du serveur.
- Le script malveillant injecté dans les sites est déguisé en Google Tag Manager, au lieu de Google Analytics utilisé par le Groupe Y.
Les attaques furtives de type Magecart restent une menace sérieuse
Les attaques de type Magecart deviennent plus furtives que jamais, car les acteurs de la menace font évoluer leurs techniques d’obscurcissement.
- Récemment, un skimmer JavaScript doté de fonctionnalités anti-détection uniques a été utilisé pour entraver l’expérience d’achat des utilisateurs visitant des sites de commerce électronique basés sur Magento.
- Un code de skimmer qui exploite les machines virtuelles pour échapper à la détection a également été utilisé pour les attaques Magecart.
Conclusion
Les groupes Magecart continuant à faire évoluer leurs tactiques pour injecter du code malveillant dans les sites de commerce électronique, les détaillants doivent adopter une approche de défense proactive pour protéger leurs clients. Cela comprend la surveillance automatisée et en temps réel des scripts et la correction immédiate des vulnérabilités.
