Los atacantes de Magecart explotan Magento Zero-Days

Los hackers de Magecart están explotando una larga lista de vulnerabilidades de día cero en el popular software de extensión de tienda para inyectar el código digital en los sitios de comercio electrónico específicos, según una investigación reciente.

El consultor de seguridad holandés Willem de Groot reveló esta semana que los atacantes habían acumulado una gran cantidad de extensiones Magento que contenían vulnerabilidades de inyección de objetos PHP (POI).

Este vector de ataque abusa de la función unserialize () de PHP para inyectar su propio código PHP en el sitio. Con eso, pueden modificar la base de datos o cualquier archivo Javascript ”, explicó.

“A partir de hoy, muchas aplicaciones populares de PHP todavía usan unserialize (). Magento reemplazó la mayoría de las funciones vulnerables por json_decode () en el parche 8788, pero muchas de sus extensiones populares no lo hicieron .

Con los atacantes que sondearon activamente los sitios web vulnerables, De Groot hizo un llamado a los desarrolladores de los sitios para parchear rápidamente. Según su cuenta de Twitter, 13 de los 20 sondeos / sitios habían sido identificados en el momento de la escritura.

Este grupo de Magecart difiere de algunos de los atacantes que hemos visto antes en eso, en lugar de inyectar el código malicioso directamente en una página de pago del sitio objetivo o de un tercero, insertará una superposición de pago personalizada.

Esto funciona para sitios que tienen pagos externos, o ningún pago con tarjeta de crédito, porque se inserta una sección de pago con tarjeta de crédito falsa, explicó de Groot. “Una vez que un usuario ingresa los detalles de su [tarjeta] y hace clic en enviar, el formulario de tarjeta de crédito falsa desaparece y el usuario confiado probablemente intentará nuevamente. La forma falsa no se mostrará una segunda vez, porque una cookie está configurada para evitar eso .

Este es solo el último descubrimiento de Magecart y, una vez más, es una prueba de que varios grupos de la competencia están usando el código de digitalización para recopilar grandes cantidades de datos de tarjetas de clientes de sitios de comercio electrónico.

…Para leer más, siga el link del idioma que prefiera