Le chaos Magecart

F5

Alors que l’été approche, avec ses barbecues, ses matchs de baseball et ses moments de détente dans le jardin, ne soyez pas trop surpris si vous vous demandez quelle a été, l’année dernière, la principale cause des compromissions dans les secteurs du commerce de détail, des technologies et de l’industrie manufacturière. Selon F5 Labs, il s’agit de Magecart.

Qu’est-ce que Magecart ? Magecart est en réalité le nom donné à un ensemble de groupes de cybercriminels. Au moins une douzaine de groupes sont impliqués, chacun ayant sa propre spécialité. Par exemple, le Groupe 5 est impliqué dans l’attaque contre Ticketmaster en 2018. Mais ce type d’attaque se produit depuis 2014, à commencer par le Groupe 1.

Le groupe a commencé par exploiter des serveurs vulnérables ou compromettre des pages de panier d’achat. Il en modifiait le contenu, le code et les scripts en y intégrant son propre logiciel malveillant afin de dérober des données de carte bancaire et des informations personnelles.

Ils ont progressé au point de pouvoir désormais intercepter les informations de paiement au moyen d’une attaque par injection de code web diffusée via des services publicitaires tiers. Les attaquants compromettent un service publicitaire et y injectent du code malveillant. La bibliothèque JavaScript compromise est ensuite chargée sur le site e-commerce desservi par ce service publicitaire. Pendant que les clients saisissent les informations de leur carte bancaire, le dispositif d’écrémage dérobe les données en arrière-plan. Une fois celles-ci récupérées, vous connaissez la suite : elles sont stockées sur un serveur et retransmises, puis vendues ou achetées sur des marchés clandestins. Les fraudeurs s’en servent alors pour acheter des biens ou encoder une carte vierge, sans que vous sachiez ce qui s’est passé.

Ticketmaster (comme indiqué précédemment), New Egg, Sotheby’s et British Airways en ont tous été victimes. En réalité, dans le cas de Ticketmaster, l’entreprise elle-même n’a pas été directement piratée, mais son fournisseur tiers a été compromis. Le module JavaScript personnalisé conçu pour Ticketmaster a été remplacé par le code d’un skimmer numérique. Mais ces entreprises n’ont pas été les seules victimes. Des centaines de sites ont été compromis de cette manière.

Compromettre les systèmes de tiers est un excellent moyen d’accéder à une cible. Il s’agit souvent de petites entreprises disposant de moins de couches de sécurité. Et elles ont un accès direct à la cible. Vous vous souvenez de l’époque où les attaques passaient par une connexion réseau back-end qui n’était pas correctement segmentée ou protégée par un mécanisme d’authentification ? C’est un peu la même chose, sauf qu’il s’agit désormais de publicités numériques. Laissez quelqu’un d’autre se charger de la livraison à votre place.

L’écrémage numérique de cartes bancaires séduit les cybercriminels, car il offre de fortes chances de réussite tout en étant relativement facile à mettre en œuvre. Pour réussir, d’autres attaques nécessitent par exemple l’utilisation de logiciels malveillants, une compromission directe, voire de l’ingénierie sociale. Elles exigent du temps, des efforts et parfois une certaine expertise. De plus, leur taux de réussite est inférieur à celui de Magecart. Alors, pourquoi ne pas choisir la facilité pour engranger des bénéfices élevés ?

L’autre raison de son succès tient au fait qu’il est presque impossible pour le client de le détecter. Alors que, gagné par l’enthousiasme, vous saisissez vos informations de paiement pour bénéficier de la livraison gratuite, le dispositif d’écrémage survole le champ de manière invisible afin de récupérer vos données. Traditionnellement, ces dispositifs étaient des « accessoires » physiques ajoutés à des équipements tels que les distributeurs automatiques de billets, les pompes à essence et les bornes de paiement. Il pouvait s’agir d’un élément recouvrant la véritable fente d’insertion ou d’une fine membrane conçue pour se fondre dans l’appareil. Vous pouvez déjouer ces menaces physiques en examinant attentivement l’endroit où vous insérez votre carte ou en passant le doigt sur la fente pour repérer toute anomalie. Dans le monde numérique, le dispositif est pratiquement invisible. Il n’est donc pas étonnant que les attaques par injection restent en tête du Top 10 de l’OWASP.

Les attaquants font constamment évoluer leur code pour éviter d’être détectés. Ils recourent à l’obfuscation, au chiffrement, et vont même jusqu’à perturber et désactiver d’autres logiciels de détournement de données bancaires susceptibles d’être déjà actifs sur le site. Dans un cas, le script effaçait aussi en permanence les messages de la console de débogage du navigateur afin de faire obstacle à sa détection et à son analyse. Selon TrendMicro, le script du groupe 12 va jusqu’à rechercher dans l’URL des mots-clés tels que « billing », « checkout » et « purchase ». Ses auteurs ont même prévu la localisation en intégrant le mot français « panier » et le mot allemand « kasse », qui désigne le passage en caisse. Dès qu’il repère les chaînes de caractères ciblées, le script commence à collecter les données, et un numéro aléatoire est généré pour identifier chaque victime. Lorsque celle-ci ferme ou actualise le navigateur, un autre événement JavaScript se déclenche et envoie à un serveur distant les données de paiement recueillies, l’e-tag (numéro aléatoire) et le domaine du site d’e-commerce.

Selon RiskIQMagecart est une menace active de grande ampleur, qui pourrait dépasser les violations de données des terminaux de paiement subies par Target ou Home Depot. Bien que les chercheurs prennent conscience de ce risque, cela ne signifie pas qu’ils seront en mesure de détecter toutes les attaques. Les cybercriminels sont ingénieux.

Comme pour de nombreuses menaces de sécurité, il est essentiel d’adopter une approche multicouche, ou de défense en profondeur. Il est évidemment important d’appliquer les correctifs à tous les serveurs et de segmenter les systèmes sensibles. Il faut également veiller à ce que toutes les extensions et tous les systèmes tiers soient à jour. Il est aussi important de s’assurer que le contenu et les fichiers diffusés par l’intermédiaire d’un CDN (source externe) ou d’autres domaines n’ont pas été modifiés ou altérés. Enfin, un WAF doté de signatures ou de jeux de règles ciblant les vulnérabilités connues exploitées par Magecart peut certainement être utile.

Ces attaques évoluent constamment, gagnent en sophistication et cherchent de nouveaux pigeons. Quant aux attaques visant la chaîne d’approvisionnement, elles permettent aux cybercriminels d’accéder à des milliers de sites. D’un seul coup.

Enfin, toute violation de données nous rappelle qu’il est important de vérifier régulièrement ses relevés de carte de crédit, ses relevés bancaires et ses documents financiers afin de repérer toute activité inhabituelle. Si vous en constatez une, signalez-la.

Si vous souhaitez en savoir plus sur Magecart et d’autres vulnérabilités liées aux injections, rendez-vous sur F5 Labs pour consulter leur rapport « Application Protection Report 2019, épisode 3 : les attaques par injection web deviennent plus redoutables ».

À propos de l’auteur

F5

Autres articles de F5