freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

考拉在哭泣:信 用 卡盗窃黑客帝国对澳大利亚山火善款募捐网站的攻击分析
2020-01-20 15:50:03

澳大利亚森林大火整整燃烧了4个月,炙烤过10万平方千米的土地,整个澳洲大陆的几乎三分之一被浓白的烟雾覆盖。2500间房屋坍塌成废墟,27个人火海丧生,至少5亿动物、鸟类在火灾中惨死。而澳洲国宝动物袋鼠超过2万只在大火中死亡,遭遇近十年最严峻的生死考验,三分之一的考拉丧生。

 

澳大利亚的夏天才过一半,或面临更大危机。

 

1579506043_5e25597b7590f.png!small

 

1月17日以来,澳大利亚东部迎来雷暴天气和强降雨,林火火势减弱,部分农田旱情得到缓解,这也让澳大利亚人感觉到希望的到来。

 

然而,奇安信威胁情报中心在日常的攻击活动监测中发现,有多起攻击活动正在将魔爪伸向澳大利亚山火善款,针对这些募捐网站发起攻击,这无疑让多笔能拯救更多的考拉以及动物们的善款,就此消失,甚至还将打压更多好心人的捐款的积极性,从而造成恶性循环。

 

为了防止更多的捐款者以及支付用户上当受骗,奇安信威胁情报中心披露了此次攻击行动,同时对这场攻击的始作俑者,全球信 用 卡 盗窃团伙MageCart进行了披露,以及报道目前信 用 卡厂商是如何对该攻击团伙的行动的打击方案。

攻击事件

下图便是本次被攻击的用于澳大利亚大火赈灾的筹备善款的网站,通过查看网站源代码可见已经被嵌入了JS水坑代码。

 

1579506051_5e25598362100.png!small

当进行付款的时候,会弹出下面的页面,此时背后的Javascript脚本开始运行,采集受害者的信息并传输到他们的服务器上。

1579506058_5e25598ab8d4e.png!small

 

基于函数名,我们可以发现大量被该组织攻陷的网站,其中还有好几个都是用于帮澳大利亚进行筹备灾后重建善款的网站。

1579506065_5e255991580cc.png!small

 

搜索挂马特征为红圈的函数名:

1579506073_5e255999ce1e7.png!small

 

而这些网站,均搭载了Magento CMS系统,在查阅被攻陷网站的的Javascript水坑代码时,我们发现其攻击方法采用了内联HTML+JS监听的方式,而这也是MageCart黑客团伙最常用的模式。

 

即如check_p函数,其构建了一个InnerHTML页面:

1579506080_5e2559a0731c7.png!small

 

构造后HTML样式如下:

1579506092_5e2559acafee6.png!small

在对其主函数进行调试后发现,其主要通过监听受害者在指定表单中填写的值,并将值发送到vamberlo.com域,该监听过程每99毫秒获取值一次,确认存在值则发送到服务器:

1579506100_5e2559b430a89.png!small

 

https://vamberlo.com/folder/ip/zxc.php

 

这里分为三个数组和对应的变量:

Ø   Billing数组,此处主要是开发 票 所需信息

获取的用户信息字段主要有:firstname,lastname,street,city,region_id,postcode,country_id,telephone,use_for_shipping

va_bill_id 的值可能为 0,1,2….

 

Ø   Shipping数组和变量,此处主要为物流相关信息

获取的用户信息字段主要有:firstname,lastname,street,city,region_id,postcode,country_id,telephone,use_for_shipping,same_as_billing

 

shipping_method值可能为ups_GND,ups_2DA,ups_1DA,tablerate_bestway

 

其中UnitedParcel Service是一家美国跨国包裹运送和供应链管理公司,ups是其简称

 

Ø   Payment数组,此处主要为支付相关信息

获取的用户信息字段主要以及对应的模板有:

method=authorizenet

cc_type=Visa

cc_number=4147099592929929

cc_exp_month=Month

cc_exp_year=Year

cc=

 

由于在境外网络消费时,只要提供信 用 卡账户、有效期以及信 用 卡后三码(CVC码)就可以完成交易,嫌疑人只要获得了受害人的信 用 卡信息就可实现盗刷,因此MageCart团伙针对这些信息进行针对性钓鱼。

Magecart团伙

Magecart是一个以获取经济利益为主要目的的窃取支付信息(例如信 用 卡)的组织集 合,情报显示其至少有十二个不同的攻击小组,这些攻击小组具有不同的运作方式、技术配置,成员水平也参差不齐。其于2016年开始出现,并在近些年来攻击了各大著名的商务网站,并挂上自己的水坑模板,钓取用户的信 用 卡信息。

 

1579506128_5e2559d046a15.png!small

 

此前有几场著名的攻击活动,如下:

 

Ø   Ticketmaster在英国的业务(2018年1月)

Ø   英国航空(2018年8月)

Ø   NewEgg电子产品零售商(2018年9月)

Ø   Topps体育收藏网站(2018年11月)

Ø   亚特兰大老鹰队球迷商品在线商店(2019年4月)

Ø   数以百计的大学校园书店  (2019年4月)

Ø   《福布斯》杂志订阅者(2019年5月)

 

其中,MageCart攻击的购物相关的网站大多为Magento框架,种种迹象表明,该团伙疑似拥有Magento的0day漏洞。

 

Magento (麦进斗) 是一套专业开源的电子商务系统。Magento设计得非常灵活,具有模块化架构体系和丰富的功能。易于与第三方应用系统无缝集成。其面向企业级应用,可处理各方面的需求,以及建设一个多种用途和适用面的电子商务网站。包括购物、航运、产品评论等等,充分利用开源的特性,提供代码库的开发,非常规范的标准,易于与第三方应用系统无缝集成。

1579506141_5e2559dd8f13a.png!small

 

根据cyberint的统计显示,被MageCart团伙窃取支付信息的受害者主要位于美国、欧洲、澳大利亚、南美、印度、中国(尤其是香港偏多)

1579506148_5e2559e4075cb.png!small

 

通过溯源分析表明,MageCart团伙与Carbanak,Dridex银行木马存在关联,此外Magecart 的第六小组目前已经被归因为臭名昭著的Fin6组织。

1579506153_5e2559e9d0d5c.png!small

 

如何打击

从上文中提及的信 用 卡字段来看,目前受害用户集中在VISA信 用 卡

 

https://gss0.bdstatic.com/-4o3dSag_xI4khGkpoWK1HF6hhy/baike/w%3D268%3Bg%3D0/sign=1bcdc950af345982c58ae29434cf5690/faedab64034f78f07b26c7d77b310a55b3191ce0.jpg

也正因为MageCart毫无底线的入侵网站并挂上水坑进行攻击,Visa安全部门提出了对抗方案,这里也同时可以借鉴一个,为国内的网站防护提供一些思路。

 

首先,Visa推出新技术对支付卡数据进行保护,例如Visa令牌服务和Click To Pay系统。

 

该签证令牌服务是一种新的支付技术,将支付卡号和具体信息由令牌替换。该令牌可根据Visa的服务器验证交易,但对攻击者无用,因为它不包含网络罪犯可以用来出售或克隆卡的任何数据。

 

1579506168_5e2559f8abd66.png!small

 

流程如下图:

1579506176_5e255a0005f69.png!small

Visa和其他卡提供商将这种令牌化系统与在过去的几年中一直在研究的新的Click To Pay技术结合在一起,并在美国各地推广。

 

借助Click To Pay,多家卡提供商已联合起来创建了一个通用的“Click toPay”按钮,供卖方添加到其在线商店中。用户只需要输入一次卡的详细信息,然后单击按钮即可通过Internet购买产品,而不必在每个商店重新输入卡的详细信息。

1579506182_5e255a06183b5.png!small

 

由于用户不必在在线商店上输入卡的详细信息,因此Magecart黑客无法窃取任何东西。

 

两种技术都是为了简化在线购物而创建的,但是它们都恰巧在适当的时机出现,以帮助抵御Magecart攻击。

 

Visa表示,这种新在线结帐体验将从2020年1月开始取代美国的VisaCheckout ,并将在2020年底之前继续在全球扩展至其他市场。

 

随着Visa及其在支付市场上的合作伙伴将这种新的结帐体验推向更广泛的受众,Visa的安全团队也一直在花费其时间来尽可能地破坏现有的Magecart攻击活动业务。

 

自去年以来,Visa的安全工程师一直在积极跟踪Magecart集团使用的C2命令和控制服务器,并与托管提供商合作开展现有业务,例如获取攻击者服务器信息等。

 

此外,为了帮助识别新的Magecart攻击活动,Visa还开发了电子商务威胁破坏(eTD)平台。

 

Visa表示,该平台会积极分析商家网站,以查找恶意的支付数据窃听恶意软件。一旦发现威胁,签证付款欺诈中断(PFD)团队会通知商店所有者,并提供有关如何删除恶意软件的免费指导。

总结

在利益面前,一些唯利是图的黑客不会和你讲仁义道德和盗亦有道,慈善网站同样有被攻击的风险,像此前的国内慈善网站宝贝回家就曾被黑客攻击,未来这类没有很强的防护措施的慈善网站或将引发新一轮的针对性攻击活动。

 

目前来看,MageCart攻击团伙的行动不可能会停止,攻击仍然在继续,这类已成规模的黑客团伙,从发起攻击,到资产转移都堪称顶级,目前主要针对英语系国家,但实际上,这一系列的攻击活动都已经模式化,很有可能在英语系国家的电商网站防护手段越趋完善的同时,向外语系国家发起攻击,例如中文,俄文等。

 

因此,这对于一些国内一些需要使用信 用 卡进行海淘的用户需要注意,可以选择部署一些检测网站是否挂马的浏览器插件,并养成良好的上网习惯,避免向未认证网站汇款。

参考链接:

[1]https://twitter.com/MBThreatIntel/status/1215693928764063744

[2] https://www.riskiq.com/what-is-magecart/

[3] https://www.cyberint.com/wp-content/uploads/2019/06/CyberInt_Profiling-Magecart-eCommerce-Scraping-Attacks_Report.pdf

本文作者:, 转载请注明来自FreeBuf.COM

# 黑产
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑