חדשות מג'נטו

MageCart הוא שם שניתן לתריסר קבוצות של פושעי סייבר המתמקדים באתרי מסחר אלקטרוני במטרה לגנוב מספרי כרטיסי אשראי ולמכור אותם בשוק השחור. קבוצות אלו הינן איום הולך וגובר על בעלי אתרי מסחר, לרבות אתרי מג'נטו. MageCart משתמשים בטכניקות חדשות כדי להתחמק מזיהוי ונטרול. 

 

באתר Sucuri ניתן למצוא תיאור מקרה בו בעלי אתר מסחר אלקטרוני מג'נטו נגוע מאוד, ממנו נגנבו פרטי כרטיס האשראי. הפעולות הראשוניות של Sucuri היו להסיר כמות עצומה של תוכנות זדוניות, כולל שישה סוגים שונים של אמצעים לגניבת כרטיסי אשראי מאתרי מג'נטו. הלקוח השתמש בגרסה ישנה של מג'נטו שלא הצליח לשדרג אותה: גירסת מג'נטו הייתה כמעט בת 7 וחסרה המון תיקוני אבטחה. למרבה הצער זה נפוץ מדי בתחום מג'נטו מכיוון שמקובל שבעלי עסקים משלמים הון עבור אתר מקודד בהתאמה אישית ואז אין להם מספיק כסף כדי לשכור את היזם ברגע שהאתר שלהם הופך למיושן ופגיע. Sucuri מציינים כי זה יכול לעלות בין 5,000 ל -50,000 דולר להעביר אתר מג'נטו 1 (שסיים את חייו בשנת 2020) למג'נטו 2 מאובטח. עבור הרבה בעלי אתרי מג'נטו זה פשוט בלתי אפשרי. מה שגרוע יותר הוא ש- ADOBE (הבעלים של CMS הקוד הפתוח של מג'נטו, ככל הנראה במאמץ להכריח את בעלי האתרים לשדרג) אכן העבירה את תיקוני האבטחה של מג'נטו 1 למצב בלתי מקוון. הם עדיין זמינים ב- Github אך לא ממקור רשמי.

 

אחת הטקטיקות בהן משתמשים האקרים מקבוצת Magecart היא הטמעת פרטי כרטיס אשראי בקבצי תמונה בשרת, כדי למנוע חשד. מאוחר יותר ניתן להוריד אותם באמצעות בקשת GET פשוטה. אחת השיטות השימושיות ביותר של Sucuri במציאת זנים חדשים של תוכנות זדוניות שלא זוהו בעבר, היא בדיקת תקינות הליבה של הקבצים על מנת לבדוק אם נוספו או הוחלפו קבצי ליבה של מג'נטו. אם קיים חוסר התאמה (קוד או קבצים שנוספו, שונו או הוסרו) בודקים את הסיבה. בנוזקות של Magecart, הקבצים הנגועים צריכים להיות מעורבים איכשהו בתהליך הקופה כדי לעבוד. התוקפים אינם יכולים להדביק סתם קובץ אקראי מכיוון שהם צריכים לטפל במידע הכולל תשלום. Sucuri מציינים כי במקרה הנוכחי, הוסיפו התוקפים "ערפול" על חלקים מהקוד - שכבה המקשה על זיהוי הקוד הנגוע.