Caesar Cipher Skimmer

Mehrere weit verbreitete Content Management Systeme (CMS), wie Magento, WordPress und OpenCart, sind kürzlich auf einen neuen Kreditkarten-Web-Skimmer gestoßen, der als Caesar Cipher Skimmer bekannt ist. Diese Malware infiltriert E-Commerce-Websites mit der Absicht, heimlich Finanz- und Zahlungsdaten zu sammeln.

Die Angriffskampagne zielte speziell auf das WooCommerce-Plugin für WordPress ab, wo die PHP-Datei „form-checkout.php“ manipuliert wurde, um Kreditkarteninformationen zu extrahieren. Forscher, die die Situation überwachten, stellten fest, dass der eingeschleuste Code geändert wurde, um seine Sichtbarkeit zu verringern, indem die Verschleierung des Skripts minimiert wurde.

Der Caesar Cipher Skimmer könnte auf bereits kompromittierten Websites eingesetzt werden

Konkret verwendet es denselben Substitutionsmechanismus wie die Caesar-Chiffre, um den bedrohlichen Code in eine unleserliche Zeichenfolge zu kodieren und die externe Domäne zu verbergen, die zum Hosten der Nutzlast verwendet wird. Es wird angenommen, dass alle Websites zuvor auf andere Weise kompromittiert wurden, um ein PHP-Skript mit den Namen „style.css“ und „css.php“ zu inszenieren, in einem offensichtlichen Versuch, ein HTML-Stylesheet zu imitieren und der Erkennung zu entgehen.

Diese Skripte sind wiederum darauf ausgelegt, einen anderen verschleierten JavaScript-Code zu laden, der einen WebSocket erstellt und eine Verbindung zu einem anderen Server herstellt, um den eigentlichen Skimmer abzurufen.

Das Skript sendet die URL der aktuellen Webseiten, wodurch die Angreifer für jede infizierte Site angepasste Antworten senden können. Einige Versionen des Skripts der zweiten Ebene prüfen sogar, ob es von einem angemeldeten WordPress-Benutzer geladen wird, und ändern die Antwort für diesen.

Die Betreiber des Caesar Cipher Skimmer sind wahrscheinlich Russen

Einige Versionen des Skripts enthalten auf Russisch verfasste Kommentare, was darauf hindeutet, dass die Bedrohungsakteure hinter der Operation russischsprachig sein könnten.

Der Angriff beschränkt sich nicht nur auf die Modifizierung der Datei „form-checkout.php“ in WooCommerce; Angreifer haben auch das legitime WPCode-Plugin ausgenutzt, um den Skimmer in die Website-Datenbanken einzuschleusen.

Auf Magento-basierten Websites finden sich JavaScript-Injektionen in Datenbanktabellen wie core_config_data. Die für OpenCart-Websites verwendete Methode ist derzeit noch unbekannt. Aufgrund der weiten Verbreitung als Website-Plattform sind WordPress und sein umfangreiches Plugin-Ökosystem zu lukrativen Zielen für böswillige Akteure geworden und bieten ihnen reichlich Möglichkeiten für Angriffe.

Websitebesitzer müssen ihre CMS-Software und Plug-ins regelmäßig aktualisieren, sichere Kennwortpraktiken anwenden und regelmäßige Audits durchführen, um verdächtige Administratorkonten zu erkennen.

Opfer eines Skimmers können schwerwiegende Folgen erleiden

Kreditkarten-Web-Skimming, auch als Magecart-Angriffe oder digitales Skimming bekannt, kann schwerwiegende Folgen für Verbraucher und Unternehmen haben:

• Finanzielle Verluste : Skimmer sammeln Kreditkartendaten, die auf manipulierten Websites eingegeben wurden. Diese Informationen werden dann für betrügerische Transaktionen verwendet, was zu direkten finanziellen Verlusten für die betroffenen Personen führt.
• Identitätsdiebstahl : Erfasste Kreditkartendaten können für Zwecke des Identitätsdiebstahls missbraucht werden, beispielsweise zum Eröffnen neuer Konten oder zum Tätigen nicht autorisierter Einkäufe im Namen des Opfers.
• Schädigung des Rufs des Unternehmens : Unternehmen, die Opfer eines Skimming-Angriffs werden, können einen Reputationsschaden erleiden und das Vertrauen ihrer Kunden verlieren. Verbraucher vermeiden möglicherweise das Einkaufen auf Websites, bei denen es zu Sicherheitsverletzungen gekommen ist.
• Regulatorische Sanktionen : Je nach Rechtsprechung können Unternehmen mit Geldbußen und Strafen belegt werden, wenn sie Kundendaten nicht ausreichend schützen. Auch die Einhaltung von Datenschutzbestimmungen wie der DSGVO oder dem CCPA kann gefährdet sein.
• Betriebsunterbrechung : Die Auswirkungen eines Skimming-Angriffs zu mildern, erfordert viel Zeit und Ressourcen. Unternehmen müssen möglicherweise ihre Websites oder Dienste vorübergehend schließen, um den Angriff zu untersuchen und zu beheben, was zu Betriebsunterbrechungen und finanziellen Auswirkungen führen kann.
• Langfristige Auswirkungen auf den Umsatz : Selbst nach der Abwehr eines Skimming-Angriffs kann es infolge der Sicherheitsverletzung zu einem Rückgang des Kundenverkehrs und der Umsätze kommen. Das Vertrauen der Kunden wiederherzustellen und einen guten Ruf wiederherzustellen, kann eine langfristige Herausforderung sein.

Zusammenfassend lässt sich sagen, dass Web-Skimming-Programme für Kreditkarten sowohl für Verbraucher als auch für Unternehmen erhebliche Risiken darstellen und sich auf die finanzielle Stabilität, Vertrauenswürdigkeit und Einhaltung gesetzlicher Vorschriften auswirken. Präventivmaßnahmen wie regelmäßige Sicherheitsüberprüfungen, robuste Verschlüsselungsverfahren und zeitnahe Software-Updates sind unerlässlich, um diese Risiken zu mindern und sich vor solchen unsicheren Aktivitäten zu schützen.