Während wir mit Grillpartys, Baseballspielen und Spaß im Garten in den Sommer starten, sollten Sie sich nicht allzu sehr wundern, wenn Sie sich fragen, was im vergangenen Jahr die häufigste Ursache für Sicherheitsverletzungen im Einzelhandel, in der Technologiebranche und im verarbeitenden Gewerbe war. Laut F5 Labs ist es Magecart.
Was ist Magecart? Magecart ist eigentlich eine Bezeichnung für eine Gruppe cyberkrimineller Einheiten. Mindestens ein Dutzend Gruppen ist dafür verantwortlich, und jede hat ihr eigenes Spezialgebiet. Gruppe 5 wird beispielsweise mit dem Angriff auf Ticketmaster im Jahr 2018 in Verbindung gebracht. Diese Art von Angriff findet jedoch bereits seit 2014 statt, beginnend mit Gruppe 1.
Die Gruppe begann damit, Schwachstellen in Servern auszunutzen oder Seiten von Warenkorbsystemen zu kompromittieren. Sie manipulierte Inhalte, Code und Skripte mithilfe eigener Schadsoftware, um Kreditkarten- und personenbezogene Daten zu stehlen.
Sie haben ihre Methoden inzwischen so weit verfeinert, dass sie Zahlungsinformationen durch einen Webcode-Injection-Angriff abschöpfen können, der über Werbedienste von Drittanbietern erfolgt. Die Angreifer kompromittieren einen Werbedienst und schleusen Schadcode ein. Die kompromittierte JavaScript-Bibliothek wird anschließend auf der E-Commerce-Website geladen, auf der der Werbedienst Anzeigen ausliefert. Während Kunden ihre Kreditkartendaten eingeben, stiehlt der Skimmer unbemerkt im Hintergrund die Daten. Sobald diese erfasst wurden, läuft alles nach dem bekannten Muster ab: Sie werden auf einem Server gespeichert und an die Angreifer übermittelt, gelangen zu Verkäufern oder Käufern im Untergrund, die damit entweder Waren kaufen oder die Daten auf einen Kartenrohling übertragen – und Sie haben keine Ahnung, was passiert ist.
Ticketmaster (wie bereits erwähnt), New Egg, Sotheby’s und British Airways waren allesamt betroffen. Im Fall von Ticketmaster wurde das Unternehmen selbst nicht direkt angegriffen, sondern sein Drittanbieter kompromittiert. Das speziell für Ticketmaster entwickelte JavaScript-Modul wurde durch den Code eines digitalen Skimmers ersetzt. Doch sie waren nicht die Einzigen. Hunderte Websites wurden auf diese Weise kompromittiert.
Die Kompromittierung von Drittsystemen ist eine hervorragende Möglichkeit, sich Zugang zu einem Ziel zu verschaffen. Oft handelt es sich dabei um kleinere Unternehmen mit weniger Sicherheitsebenen. Und sie haben direkten Zugriff auf das Ziel. Erinnern Sie sich noch an die Zeiten, als Angriffe über eine Backend-Netzwerkverbindung erfolgten, die nicht ordnungsgemäß segmentiert oder durch eine Authentifizierung abgesichert war? Im Grunde ist es heute genauso, nur dass jetzt digitale Werbung zum Einsatz kommt. Lassen Sie andere die Auslieferung für Sie übernehmen.
Digitales Kartenskimming ist für Kriminelle attraktiv, da die Erfolgsaussichten hoch sind und es relativ einfach durchzuführen ist. Andere Angriffe erfordern beispielsweise Malware, eine direkte Kompromittierung oder sogar Social Engineering, um erfolgreich zu sein. Dafür sind Zeit, Aufwand und manchmal auch Fachwissen erforderlich. Zudem ist die Erfolgsquote im Vergleich zu Magecart geringer. Warum also nicht die leichte Beute mit hohem Gewinn wählen?
Ein weiterer Grund für den Erfolg dieser Methode ist, dass sie für Kunden nahezu unmöglich zu erkennen ist. Während Sie voller Vorfreude Ihre Zahlungsdaten eingeben, um sich den kostenlosen Versand zu sichern, liegt der Skimmer unsichtbar über dem Eingabefeld und greift Ihre Daten ab. Traditionell waren Skimmer physische „Aufsätze“ an Geräten wie Geldautomaten, Zapfsäulen und Selbstbedienungskassen. Dabei konnte es sich um eine Abdeckung über dem eigentlichen Kartenschlitz oder um eine dünne, unauffällig in das Gerät integrierte Folie handeln. Solche physischen Bedrohungen können Sie abwehren, indem Sie die Stelle, an der Sie Ihre Karte einführen, genau prüfen oder mit dem Finger über den Schlitz fahren, um ungewöhnliche Veränderungen zu ertasten. In der digitalen Welt ist ein Skimmer hingegen praktisch unsichtbar. Kein Wunder also, dass Injection-Angriffe weiterhin ganz oben in den OWASP Top 10 stehen.
Die Angreifer entwickeln ihren Code ständig weiter, um einer Erkennung zu entgehen. Dazu setzen sie auf Verschleierung und Verschlüsselung und stören oder deaktivieren sogar andere Software zum Abschöpfen von Kartendaten, die möglicherweise bereits auf der Website ausgeführt wird. In einem Fall löschte das Skript außerdem fortlaufend die Meldungen in der Debugger-Konsole des Browsers, um die Erkennung und Analyse zu erschweren. Laut TrendMicro geht das Skript von Gruppe 12 sogar so weit, die URL auf Schlüsselwörter wie „billing“, „checkout“ und „purchase“ zu prüfen. Sie berücksichtigten sogar verschiedene Sprachen, indem sie das französische Wort für Warenkorb, „panier“, und das deutsche Wort für Bezahlvorgang, „kasse“, einbezogen. Sobald das Skript die gesuchten Zeichenfolgen erkennt, beginnt es mit dem Abschöpfen der Daten und generiert für jedes Opfer eine zufällige Nummer zu dessen Identifizierung. Sobald das Opfer den Browser schließt oder die Seite aktualisiert, wird ein weiteres JavaScript-Ereignis ausgelöst, das die erfassten Zahlungsdaten, das E-Tag (die Zufallsnummer) und die E-Commerce-Domain an einen Remote-Server sendet.
Magecart ist eine große, aktive Bedrohung, die laut RiskIQ noch gravierender sein könnte als die Angriffe auf Kassensysteme bei Target oder Home Depot. Obwohl sich Sicherheitsforscher dieses Risikos zunehmend bewusst werden, bedeutet das nicht, dass sie jeden Angriff erkennen können. Die Kriminellen gehen raffiniert vor.
Wie bei vielen Sicherheitsbedrohungen ist ein mehrschichtiger Ansatz beziehungsweise eine tief gestaffelte Verteidigung entscheidend. Natürlich ist es wichtig, alle Server zu patchen und sensible Systeme zu segmentieren. Ebenso müssen alle Erweiterungen und Systeme von Drittanbietern auf dem neuesten Stand sein. Außerdem muss sichergestellt werden, dass die über ein CDN (externe Quelle) oder andere Domains bereitgestellten Inhalte und Dateien nicht verändert oder manipuliert wurden. Und natürlich kann eine WAF mit Signaturen oder Regelsätzen helfen, die auf bekannte, von Magecart ausgenutzte Schwachstellen ausgerichtet sind.
Diese Angriffe entwickeln sich ständig weiter, werden immer raffinierter und suchen nach neuen Opfern. Und durch Angriffe auf die Lieferkette erhalten Kriminelle Zugriff auf Tausende von Websites – und zwar alle auf einmal.
Letztlich führt uns jeder Sicherheitsvorfall vor Augen, wie wichtig es ist, Kreditkartenabrechnungen, Kontoauszüge und andere Finanzunterlagen regelmäßig auf ungewöhnliche Aktivitäten zu überprüfen. Wenn Ihnen etwas auffällt, melden Sie es.
Wenn Sie sich eingehender mit Magecart und anderen Injection-Schwachstellen befassen möchten, finden Sie bei F5 Labs den Application Protection Report 2019, Folge 3: Web-Injection-Angriffe werden raffinierter.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...