953 интернет-магазина заражены в ходе длительной вредоносной кампании

Специалисты по кибербезопасности обнаружили вредоносную кампанию, затронувшую 953 интернет-магазина. Атака продолжалась длительное время, а злоумышленники использовали скрытную тактику, чтобы оставаться незамеченными. Инцидент вновь демонстрирует, насколько уязвимой может быть инфраструктура небольших и средних онлайн-площадок, обрабатывающих платёжные данные и учётные записи покупателей.

Подробности

В ходе кампании в код скомпрометированных магазинов внедрялся небольшой загрузчик. Его ключевая особенность — избирательное поведение: при определённых условиях он доставлял посетителям полезную нагрузку, а в остальных случаях никак себя не проявлял. Такая тактика «тихого» режима позволяет вредоносному коду подолгу оставаться незамеченным как владельцами сайтов, так и средствами защиты, которые ориентированы на поиск активных вредоносных действий. Поскольку загрузчик внедрялся непосредственно в код сайтов, злоумышленники получали возможность воздействовать на посетителей интернет-магазинов — потенциально перехватывать данные, вводимые на страницах, или перенаправлять пользователей. Точный состав полезной нагрузки в исходном сообщении не раскрывается, однако сам факт компрометации почти тысячи торговых площадок указывает на системный характер атаки, а не на единичный взлом. Масштаб (953 заражённых магазина) и длительность кампании говорят о том, что злоумышленники, вероятно, эксплуатировали общие для многих площадок weaknesses — например, уязвимости в сторонних компонентах, плагинах или CMS, используемых массово. Конкретные идентификаторы CVE в исходной публикации не приводятся.

Что делать

Владельцам интернет-магазинов рекомендуется провести внеплановый аудит сайтов и серверной инфраструктуры — прежде всего проверить целостность файлов, наличие подозрительных вставок в шаблонах и скриптах, а также проанализировать журналы доступа на предмет аномальной активности. Следует убедиться, что все компоненты CMS, плагины и темы обновлены до актуальных версий, а сторонние скрипты подключаются только из доверенных источников. Дополнительно стоит усилить мониторинг изменений в коде и настройках сайта, ограничить права доступа к административным панелям, включить MFA для учётных записей администраторов и провести проверку на наличие веб-шеллов и несанкционированных учётных записей. Для магазинов, принимающих платежи, важно проверить страницы оформления заказа на предмет внедрённого стороннего кода. Покупателям же имеет смысл внимательнее относиться к вводу платёжных данных на unfamiliar площадках и использовать дополнительную защиту учётных записей. Итог: скрытный загрузчик, способный «молчать» для обхода обнаружения, делает подобные кампании особенно опасными — обнаружение требует не только сигнатурного анализа, но и постоянного контроля целостности веб-ресурсов.

Источник: SecurityWeek