Una lista de docenas de tiendas en línea pirateadas por un grupo de skimming web fue filtrada inadvertidamente por un cuentagotas utilizado para implementar un troyano sigiloso de acceso remoto (RAT) en sitios de comercio electrónico comprometidos.
Los actores de amenazas utilizan esta RAT para mantener la persistencia y recuperar el acceso a los servidores de las tiendas en línea pirateadas.
Una vez que se conectan a las tiendas, los atacantes implementan scripts de skimmer de tarjetas de crédito que roban y exfiltran los datos personales y financieros de los clientes en ataques de skimming digital (también conocido como Magecart).
Ratas soñolientas en los servidores de la tienda online
Los investigadores de Sansec, una empresa de seguridad centrada en proteger las tiendas de comercio electrónico de los ataques de skimming web, dijeron que el malware se entregó en forma de un ejecutable ELF de 64 bits con la ayuda de un dropper de malware basado en PHP.
Para evadir la detección y obstaculizar el análisis, el RAT sin nombre está diseñado para camuflarse como un demonio de servidor DNS o SSH para que no se destaque en la lista de procesos del servidor.
El malware también se ejecuta en modo de suspensión casi durante todo el día, y solo se despierta una vez al día temprano en la mañana, a las 7 a.m., para conectarse a su servidor de comando y control y solicitar comandos.
Las muestras de RAT recolectadas por Sansec de varios servidores comprometidos han sido compiladas por los actores de amenazas detrás de estos ataques en Ubuntu y Red Hat Linux.
“Esto puede indicar que varias personas participaron en esta campaña”, dice Sansec en un informe publicado hoy.
“O, por ejemplo, que el código fuente de RAT está disponible públicamente y posiblemente a la venta en los mercados de la web oscura”.
Cuentagotas RAT derrama los frijoles
A pesar del malware RAT bastante avanzado que utilizaron como puerta trasera en los servidores de comercio electrónico pirateados, el grupo Magecart también cometió un error de novato al incluir una lista de tiendas en línea pirateadas dentro del código de su cuentagotas.
Sansec secuestró el cuentagotas RAT de los atacantes y descubrió que también contenía una lista de 41 tiendas comprometidas además del código malicioso habitual que se utiliza para analizar las configuraciones de implementación de varios scripts de Magecart.
Esto podría explicarse por el hecho de que el cuentagotas ha sido codificado por alguien que parece tener mucha menos experiencia con PHP, ya que “usa bloques de memoria compartida, que rara vez se usa en PHP pero es mucho más común en programas C”.
Sansec también se ha comunicado con las tiendas en línea incluidas en el código del dropper de malware Magecart para informarles que se han infiltrado sus servidores.
Durante los últimos meses, los investigadores de Sansec han desenterrado múltiples skimmers Magecart y muestras de malware que utilizan tácticas innovadoras para persistir o evadir la detección.
Un script de ladrón de tarjetas de crédito que se encuentra en tres tiendas diferentes, aún activo cuando BleepingComputer informó la información la semana pasada, se oculta a la vista en sitios pirateados que utilizan código CSS, ya que evita ser descubierto a través de métodos convencionales como escáneres de seguridad automatizados e incluso auditorías manuales de códigos de seguridad. .
También descubrieron recientemente un malware de rastreo web capaz de camuflarse como botones de redes sociales SVG y un ladrón de tarjetas de crédito casi imposible de deshacerse que incluye una puerta trasera persistente.
