Хакеры прячут web-скиммеры за значками сайтов

[Artifact]

Киберпреступники нашли способ эффективного сокрытия вредоносного кода на взломанных сайтах.

Специалисты ИБ-компании Malwarebytes https://blog.malwarebytes.com/threat...es-as-favicon/новую вредоносную кампанию, в ходе которой злоумышленники похищают данные банковских карт пользователей с помощью встроенного в сайт вредоносного ПО. Такая техника называется web-скимминг, e-скимминг или атаки Magecart. Как правило, злоумышленники взламывают сайт и внедряют в него код, похищающий платежные данные из заполняемых пользователями форм. Эксперты фиксируют подобные атаки уже в течение четырех лет, и по мере того, как ИБ-компании находят эффективные способы их выявления, киберпреступники вынуждены искать новые способы.
В новом отчете Malwarebytes сообщается об одной такой группировке, выведшей web-скимминг на качественно новый уровень. Специалисты выявили ее во время расследования серии странных взломов, в ходе которых единственное, что делали хакеры на взломанных ресурсах, – меняли фавиконы (значки сайтов).
Новый значок сайта представлял собой размещенный на MyIcons.net действительный графический файл без какого-либо вредоносного кода. Хотя изменение значка выглядело весьма безобидным, вредоносное ПО каким-то образом все-таки загружалось на взломанные сайты, и значки вызвали подозрения у специалистов.
Как поясняется в отчете Malwarebytes, MyIcons.net обслуживал действительный файл значка для всех страниц сайта, за исключением страниц с формами для оформления заказа. На этих страницах MyIcons.net незаметно заменял значок вредоносным JavaScript-файлом, создающим поддельную форму для оформления заказа и похищающим данные банковских карт.
Владельцы одного такого взломанного сайта посетили MyIcons.net и увидели, что он является полноценным порталом для хостинга значков. Ничего не вызвало у них подозрений. Тем не менее, как обнаружили эксперты Malwarebytes, MyIcons.net представляет собой «клон» легитимного портала IconArchive.com и создан для маскировки вредоносной активности.
Создание целого хостингового портала – это нечто новое для web-скиммеров, хотя данную технику давно используют группировки, специализирующиеся на других видах киберпреступлений.