Magecart, un noto gruppo di criminali informatici noto per la sua abilità nel rubare dati sensibili da siti di e-commerce, ha svelato uno schema subdolo che sfrutta un elemento apparentemente innocuo di Internet: la pagina di errore 404. Questa tattica innovativa, scoperta dall’Akamai Security Intelligence Group, è una delle tre varianti impiegate da Magecart e prevede di nascondere codice dannoso nell’abisso digitale di 404 pagine di errore per rubare di nascosto i dati della carta di credito dei clienti.
Come hanno fatto le 404 pagine a diventare il parco giochi dei criminali informatici?
In questo attacco informatico orchestrato dal gruppo Magecart, gli hacker manipolano la pagina di errore 404 di un sito Web, la pagina visualizzata quando una pagina Web non esiste o presenta un collegamento interrotto. Nascondono codice dannoso all’interno di questa pagina apparentemente innocua per rubare i dati della carta di credito a visitatori ignari. Il codice nascosto presenta agli utenti un modulo falso, chiedendo loro di inserire i dati sensibili della carta di credito. Questi dati rubati vengono poi trasmessi di nascosto agli hacker, mascherati da richieste di immagini innocenti. L’approccio innovativo rende il rilevamento impegnativo, sottolineando la necessità di solide misure di sicurezza informatica per proteggere le transazioni online e le informazioni degli utenti.
![Gli hacker iniziano a utilizzare le pagine di errore 404 per rubare le carte di credito 2 Gli hacker iniziano a utilizzare le pagine di errore 404 per rubare le carte di credito](https://techbriefly.com/wp-content/uploads/2023/10/404-1.jpg)
Esaminiamo nei dettagli come funziona effettivamente questo hack di scrematura delle carte Magecart, che sfrutta le pagine di errore 404:
- Selezione dell’obiettivo: Il primo passo per gli hacker di Magecart è identificare i propri obiettivi, che includono principalmente siti di e-commerce costruiti su piattaforme popolari come Magento e WooCommerce. Alcune vittime di questa campagna sono state organizzazioni di spicco nei settori alimentare e della vendita al dettaglio.
- Occultamento del codice dannoso: Una volta scelto l’obiettivo, gli hacker utilizzano una tecnica innovativa. Manipolano la pagina di errore 404 del sito Web, che è la pagina che i visitatori vedono quando tentano di accedere a una pagina Web che non esiste, è stata spostata o contiene un collegamento non funzionante.
- Nascosto in bella vista: Invece di inserire il codice dannoso direttamente nel codice del sito, i criminali di Magecart lo nascondono nella pagina di errore 404. Questa tattica è particolarmente intelligente perché non è stata vista nelle precedenti campagne Magecart. In questo modo, hanno un nuovo modo per eludere il rilevamento.
- Il caricatore a skimmer: Il caricatore dello skimmer è una componente critica dell’attacco. Può assumere vari travestimenti, ad esempio apparire come snippet di codice Meta Pixel o nascondersi all’interno di script in linea preesistenti sulla pagina Web di pagamento compromessa.
- Recupero di risorse inesistenti: Il caricatore avvia una richiesta di recupero su un percorso relativo denominato “icone”. Questo percorso non esiste sul sito Web di destinazione, risultando in un errore “404 Not Found”. A prima vista può sembrare un errore innocente o uno schiumatoio inattivo.
- Nascosto nei commenti HTML: Tuttavia, dopo un esame più attento, il caricatore contiene una corrispondenza di espressione regolare che cerca una stringa specifica all’interno dell’HTML della pagina di errore 404. Quando trova questa stringa, rivela una stringa concatenata con codifica base64 abilmente nascosta all’interno di un commento HTML.
- JavaScript dannoso svelato: Questa stringa con codifica base64, una volta decodificata, rivela lo skimmer JavaScript, progettato per rimanere nascosto in tutte le pagine di errore 404.
- Esfiltrazione dati nascosta: Con lo skimmer attivo, presenta un modulo falso ai visitatori del sito web. Questo modulo ingannevole richiede agli utenti di inserire informazioni sensibili, incluso il numero di carta di credito, la data di scadenza e il codice di sicurezza. All’insaputa della vittima, nel momento in cui inserisce questi dati, riceve un falso errore di “timeout della sessione”.
- Esfiltrazione dati: In background, tutte le informazioni rubate vengono codificate in base 64 e inviate all’aggressore tramite un URL di richiesta immagine, portando la stringa come parametro di query. Questo approccio ingannevole maschera l’esfiltrazione dei dati come un evento di recupero di immagini apparentemente innocuo, rendendone difficile l’identificazione da parte degli strumenti di monitoraggio del traffico di rete.
- Informazioni rubate: Tuttavia, dopo aver decodificato la stringa base64, l’aggressore ottiene l’accesso alle informazioni personali e della carta di credito, portando potenzialmente al furto di identità e alla perdita finanziaria per le vittime.
Questo attacco sofisticato evidenzia le tattiche in evoluzione degli hacker Magecart, che trovano continuamente nuovi modi per nascondere il proprio codice dannoso e compromettere la sicurezza dei negozi online. Sottolinea la necessità di una maggiore vigilanza nella salvaguardia delle informazioni sensibili e l’imperativo di solide misure di sicurezza informatica per proteggere sia le imprese che i consumatori in un mondo sempre più digitale.
Per informazioni più dettagliate a riguardo, leggi l’ufficialità rapporto.
Credito immagine in primo piano: Erik Mclean/Unsplash
Source: Gli hacker iniziano a utilizzare le pagine di errore 404 per rubare le carte di credito