Magecart乱局

F5

随着夏日临近，烧烤、棒球比赛和后院休闲活动纷至沓来。如果您不禁想知道过去一年零售、科技和制造业数据泄露的首要根本原因，也不必感到意外。F5 Labs指出，答案是Magecart。

什么是Magecart？Magecart实际上是对一系列网络犯罪团伙的统称。至少有十几个团伙参与其中，每个团伙都有自己的专长。例如，5号团伙涉嫌参与2018年针对Ticketmaster的攻击。但此类攻击早在2014年就已出现，最初由1号团伙发起。

该团伙最初通过利用存在漏洞的服务器或入侵购物车页面发起攻击。他们使用自己的恶意软件篡改内容、代码和脚本，以窃取信用卡信息和个人数据。

他们的攻击手段已经升级，如今可通过第三方广告服务发起Web代码注入攻击，窃取支付信息。攻击者会入侵广告服务并注入恶意代码。随后，遭篡改的JavaScript库会加载到该广告服务所覆盖的电子商务网站上。当客户输入信用卡信息时，窃取程序会在后台盗取这些数据。数据一旦被窃取，就会按惯常流程存储在服务器上并回传，随后流入地下市场的卖家或买家手中。他们会用这些数据购买商品，或将其重新写入空白卡，而您对此毫不知情。

Ticketmaster（如前所述）、New Egg、Sotheby’s和British Airways都曾遭受此类攻击。事实上，Ticketmaster本身并未直接遭到入侵，而是其第三方供应商被攻破。为Ticketmaster定制的JavaScript模块被替换为数字窃取程序代码。受害者远不止这些公司，已有数百个网站以这种方式遭到入侵。

攻陷第三方系统是访问目标的有效途径。这些第三方通常是规模较小的公司，安全防护层级也较少，而且可以直接访问目标。还记得以前攻击者如何通过未妥善分段或缺少身份验证保护的后端网络连接发起攻击吗？如今的情况与此类似，只不过载体变成了数字广告。攻击者可以借助他人之手投放恶意代码。

数字银行卡信息窃取对犯罪分子颇具吸引力，因为这种攻击成功概率较高，而且相对容易实施。其他攻击则需要借助恶意软件、直接入侵，甚至社会工程手段才能得逞，需要投入时间和精力，有时还需要专业知识。相比之下，这些攻击的成功率低于Magecart攻击。既然有更容易得手、获利更高的方式，犯罪分子又何必舍近求远？

这种攻击之所以容易得逞，另一个原因是客户几乎无法察觉。当您满心期待免费配送，兴奋地输入付款信息时，数字窃卡程序正悄无声息地潜伏在输入字段上方，伺机窃取数据。传统的窃卡器是安装在ATM、加油机和自助结账终端等设备上的实体“附加装置”，可能是覆盖实际插卡口的部件，也可能是与设备融为一体的薄膜。仔细查看插卡位置，或用手指划过插卡口，感受是否有任何异常，有助于防范这些实体威胁。而数字窃卡程序几乎完全不可见。难怪注入攻击一直位居OWASP十大安全风险前列。

攻击者不断迭代代码以逃避检测，包括使用混淆和加密技术，甚至干扰并禁用网站上可能已在运行的其他银行卡信息窃取软件。在一个案例中，该脚本还会持续清除浏览器调试器控制台中的消息，以阻碍检测和分析。据TrendMicro称，Group 12的脚本甚至会检查URL中是否包含“billing”“checkout”和“purchase”等关键字。他们还进行了本地化处理，加入了表示购物篮的法语单词“panier”和表示结账的德语单词“kasse”。检测到目标字符串后，脚本便会开始窃取信息，并为每名受害者生成一个随机编号作为标识。受害者关闭或刷新浏览器后，另一个JavaScript事件会被触发，将捕获的支付数据、e-tag（随机编号）和电商域名发送到远程服务器。

据RiskIQ称，Magecart是一项规模庞大的活跃威胁，其影响可能超过Target或Home Depot发生的销售点系统数据泄露事件。尽管研究人员正逐渐认识到这一风险，但这并不意味着他们能够检测到每一次攻击。犯罪分子的手段十分狡猾。

与应对许多安全威胁一样，采用分层或纵深防御方法至关重要。显然，为所有服务器安装补丁并对敏感系统进行分段非常重要。确保所有扩展和第三方系统均为最新版本也同样重要。此外，还应确保通过CDN（外部来源）或其他域交付的内容和文件未被篡改。当然，配备WAF也能发挥作用，其特征码或规则集应重点针对Magecart正在利用的已知漏洞。

这些攻击手段不断演变，日益复杂，并持续寻找新的受害者。供应链攻击还会让不法分子同时入侵数千个网站。

最后，任何数据泄露事件都提醒我们，应定期检查信用卡账单、银行对账单和其他财务报表，留意是否存在异常活动。一旦发现，请立即报告。

如需深入了解Magecart及其他注入漏洞，请前往F5 Labs查看其《2019年应用保护报告，第3期：Web注入攻击愈演愈烈》。

关于作者

F5

F5 的更多博客文章