OpenCart атакован: кредитки под угрозой

Тысячи интернет-магазинов оказались под угрозой после очередной массированной атаки вредоносного ПО на популярную систему управления сайтами OpenCart. На этот раз злоумышленники выбрали стиль Magecart, мастерски интегрировав вредоносный JavaScript прямо в посадочные страницы сайтов. Причём маскировали свои зловреды среди вполне безобидных тегов для аналитики — таких как Facebook Pixel, Meta Pixel и Google Tag Manager, чтобы никто не заподозрил подвоха.

По данным компании c/side, занимающейся мониторингом сторонних скриптов, внедрённый код выглядел как безобидный фрагмент для сбора метрик, но на деле был волком в овечьей шкуре. Хитрые хакеры зашифровали адреса своих активных вредоносных файлов в Base64 и скрывали трафик через подозрительные домены вроде /tagscart.shop/cdn/analytics.min.js. Всё — ради того, чтобы обычные проверки не заметили подвоха.

Внешне скрипт почти копировал привычные коды Google Analytics или Tag Manager, но, если докопаться до сути, раскрывал совсем другой смысл: выполнялся декодированный вредонос, который динамически создавал новые элементы на странице, незаметно подгружал дополнительный код. А там — целая мешанина из замаскированных частей, непонятных функций и «eval()» для полной головоломки.

Самый опасный момент: скрипт подсовывал на страницу поддельную форму для ввода банковских карт, неотличимую на вид от настоящей. Всякий, кто переходил к оплате, должен был вручную вводить номер карты, срок действия и секретный код. Слушатели событий «blur», «keydown» и «paste» собирали твои данные на каждом этапе. Не было даже классического копирования из буфера — хакеры хотели, чтобы данные забивали руками.

После ввода информации карточные данные уходили хакерам через POST-запросы на два управляющих домена: //ultracart[.]shop/g.php и //hxjet.pics/g.php. Как только пользователь отправлял данные, настоящий платёжный интерфейс исчезал, а появлялась вторая поддельная страница — теперь уже с просьбой ввести детали банковской транзакции. С одной карты мошенники явно не хотели останавливаться.

Особой иронией отличается вот что: украденные данные долго пролежали без дела — несколько месяцев, а не как обычно пару дней. Лишь 18 июня одну карту применили для телефонной оплаты в США, а другую списали на 47,80 евро некоему неизвестному продавцу.

Этот инцидент ясно показал, какие дыры в безопасности ждут тех, кто строит бизнес на SaaS и доверяет системе OpenCart без дополнительной защиты. Простого файервола теперь недостаточно: нужны системы мониторинга и выявления странного поведения скриптов — вроде платформы c/side, которая способна ловить и вредоносные инъекции, и несанкционированные формы, и аномальную активность.

Вывод: даже владельцам небольших интернет-магазинов пора перестать надеяться на авось. Реальный мониторинг и свежие данные о киберугрозах больше не роскошь — если только вы не хотите, чтобы ваши покупатели стали очередными жертвами цифровой заботы о безопасности.