El caos de Magecart

F5

Ahora que se acerca el verano, con sus barbacoas, partidos de béisbol y diversión en el jardín, no se sorprenda demasiado si se pregunta cuál fue la principal causa de las brechas de seguridad en los sectores minorista, tecnológico y manufacturero durante el último año. Según F5 Labs, fue Magecart.

¿Qué es Magecart? Magecart es, en realidad, el término que se utiliza para denominar a un conjunto de grupos de ciberdelincuentes. Hay al menos una docena de grupos responsables, cada uno con su propia especialidad. Por ejemplo, el Grupo 5 está implicado en el ataque a Ticketmaster de 2018. Sin embargo, este tipo de ataque se lleva produciendo desde 2014, cuando comenzó a actuar el Grupo 1.

El grupo comenzó explotando servidores vulnerables o comprometiendo páginas de carritos de compra. Modificaban el contenido, el código y los scripts con su propio software malicioso para robar datos de tarjetas de crédito e información personal.

Han avanzado hasta el punto de que ahora pueden sustraer información de pago mediante un ataque de inyección de código web distribuido a través de servicios publicitarios de terceros. Los atacantes comprometen un servicio publicitario e inyectan código malicioso. A continuación, la biblioteca JavaScript comprometida se carga en el sitio web de comercio electrónico en el que se muestran los anuncios del servicio. Mientras los clientes introducen los datos de su tarjeta de crédito, el skimmer actúa en segundo plano para robarlos. Una vez capturados, ya conoce el procedimiento: se almacenan en un servidor y se envían a los atacantes; después pasan a vendedores o compradores del mercado negro, que compran productos o vuelven a grabar los datos en una tarjeta en blanco, y usted no tiene ni idea de lo ocurrido.

Ticketmaster (como se ha mencionado anteriormente), New Egg, Sotheby’s y British Airways han sido víctimas. De hecho, en el caso de Ticketmaster, sus sistemas no fueron vulnerados directamente, sino que el ataque afectó a su proveedor externo. El módulo JavaScript personalizado creado para Ticketmaster fue sustituido por el código de un skimmer digital. Pero no fueron los únicos. Cientos de sitios web se han visto comprometidos de esta forma.

Comprometer sistemas de terceros es una excelente forma de acceder a un objetivo. A menudo, se trata de empresas más pequeñas con menos capas de seguridad. Y tienen acceso directo al objetivo. ¿Recuerdas cuando los ataques llegaban a través de una conexión de red de backend que no estaba correctamente segmentada ni protegida mediante algún tipo de autenticación? Es algo parecido, salvo que ahora se utilizan anuncios digitales. Deja que otro se encargue de hacértelos llegar.

El robo digital de datos de tarjetas resulta atractivo para los delincuentes porque tiene muchas probabilidades de éxito y es relativamente fácil. Para que otros ataques tengan éxito, es necesario recurrir a métodos como el malware, el acceso directo a los sistemas o incluso la ingeniería social. Requieren tiempo, esfuerzo y, en ocasiones, conocimientos especializados. Además, su tasa de éxito es inferior a la de Magecart. ¿Por qué no optar por una vía fácil que ofrece grandes beneficios?

La otra razón de su éxito es que resulta casi imposible de detectar para el cliente. Mientras introduce con entusiasmo los datos de pago para conseguir el envío gratuito, el skimmer permanece invisible sobre el campo para capturar sus datos. Tradicionalmente, los skimmers eran dispositivos físicos añadidos a cajeros automáticos, surtidores de gasolina y terminales de pago, entre otros. Podían consistir en una pieza que cubría la ranura real o en una fina membrana diseñada para integrarse en la máquina. Estas amenazas físicas pueden evitarse examinando detenidamente el lugar donde se introduce la tarjeta o pasando el dedo por la ranura para detectar cualquier elemento fuera de lo normal. En el entorno digital, en cambio, son prácticamente invisibles. No es de extrañar que los ataques de inyección sigan ocupando los primeros puestos del OWASP Top 10.

Los atacantes modifican constantemente su código para evitar que sea detectado. Recurren a la ofuscación, el cifrado e incluso a interferir con otros programas de robo de datos de tarjetas que ya puedan estar ejecutándose en el sitio y desactivarlos. En un caso, el script también borraba continuamente los mensajes de la consola de depuración del navegador para dificultar su detección y análisis. Según TrendMicro, el script del Grupo 12 llega incluso a comprobar si la URL contiene palabras clave como «billing», «checkout» y «purchase». También incorporaron la localización incluyendo la palabra francesa para cesta, «panier», y la palabra alemana para pago, «kasse». Cuando detecta las cadenas buscadas, el script comienza a recopilar datos y genera un número aleatorio para identificar a cada víctima. Cuando la víctima cierra o actualiza el navegador, se activa otro evento de JavaScript que envía a un servidor remoto los datos de pago capturados, la etiqueta electrónica (el número aleatorio) y el dominio de comercio electrónico.

Magecart es una importante amenaza activa que, según RiskIQ, podría superar en magnitud las brechas de seguridad de los terminales de punto de venta de Target o Home Depot. Aunque los investigadores son cada vez más conscientes de este riesgo, eso no significa que vayan a poder detectar todos los ataques. Los delincuentes son astutos.

Como ocurre con muchas amenazas de seguridad, es fundamental adoptar un enfoque por capas o de defensa en profundidad. Evidentemente, es importante aplicar parches a todos los servidores y segmentar los sistemas sensibles. También hay que asegurarse de que todas las extensiones y los sistemas de terceros estén actualizados. Asimismo, es importante comprobar que el contenido y los archivos distribuidos a través de una CDN (fuente externa) u otros dominios no hayan sido modificados ni manipulados. Y, por supuesto, un WAF con firmas o conjuntos de reglas centrados en vulnerabilidades conocidas que Magecart esté explotando puede resultar útil.

Estos ataques evolucionan constantemente, se vuelven más sofisticados y buscan nuevas víctimas propiciatorias. Además, los ataques a la cadena de suministro permiten a los delincuentes acceder a miles de sitios web. Todos a la vez.

Por último, cualquier brecha de seguridad nos recuerda la importancia de revisar periódicamente los extractos de las tarjetas de crédito, las cuentas bancarias y otros productos financieros para detectar cualquier actividad inusual. Si la detectas, notifícala.

Si quieres profundizar en Magecart y otras vulnerabilidades de inyección, visita F5 Labs para consultar su Informe sobre protección de aplicaciones de 2019, episodio 3: Los ataques de inyección web se vuelven más agresivos.

Sobre el autor

F5

Más artículos de F5