Smilodon Webshell
Web-Skimming-Angriffe sind sowohl für Online-Händler als auch für Käufer eine relevante Gefahr geblieben. Beim Überfliegen wird die Zahlungsseite auf einer Website kompromittiert, indem eine Malware-Nutzlast in die Website eingefügt wird. Die Cyberkriminellen können dann vertrauliche Zahlungs- oder Kredit- / Debitkarteninformationen abfangen, abrufen und zur Durchführung verschiedener Online-Betrugsfälle verwenden.
Eine neue Skimming-Web-Shell namens Smilodon (oder Megalodon) wurde von Infosec-Forschern entdeckt. Bestimmte Beweise deuten darauf hin, dass Smilodon von der Magecart Group 12 eingesetzt wird, einem Hacker-Kollektiv, von dem angenommen wird, dass es für die Magento 1- Skimming-Angriffskampagnen verantwortlich ist, die im vergangenen Herbst stattgefunden haben. Die Malware wird zuerst als Datei mit dem Namen 'Magento.png' getarnt, die versucht, sich selbst als Image / PNG zu übergeben. Es fehlt jedoch das richtige PNG-Format. Die genaue Art und Weise, wie die Skimmer-Web-Shell in die gefährdeten Websites eingefügt wird, besteht darin, die Verknüpfungssymbol-Tags mit einem Pfad zur gefälschten PNG-Datei zu bearbeiten. Darin verbirgt sich eine PHP-Web-Shell, ein beliebter Malware-Typ, mit dem Bedrohungsakteure Remotezugriff und -verwaltung erreichen und aufrechterhalten können.
Die bedrohliche Funktionalität der Smilodon-Web-Shell umfasst das Abrufen von Daten von einem externen Host, einen beschädigten Code, der sich speziell auf das Überfliegen von Kreditkarten, das Sammeln von Benutzeranmeldeinformationen und das Exfiltrieren von Daten konzentriert. Die Bedrohung weicht auch von der häufig verwendeten Skimming-Technik ab, mit der eine externe JavaScript-Ressource aufgerufen wird. Wenn ein Kunde den gefährdeten Online-Shop besucht, sendet der Browser eine Anfrage an die Domain, in der die Skimmer-Malware gehostet wird. Eine effektive Methode zum Blockieren dieses Vorgangs ist die Verwendung eines Domänen- / IP-Datenbankansatzes.
Die Smilodon-Web-Shell hat sich jedoch dafür entschieden, Code dynamisch in die Händler-Website einzufügen. Die Anforderung an die unsichere Domäne, die die Skimmer-Bedrohung trägt, hat sich ebenfalls vom Client auf den Server verlagert. Dadurch wird der Ansatz der Datenbankblockierung praktisch unbrauchbar, da alle gefährdeten Speicher auf die schwarze Liste gesetzt werden müssten.
