À medida que entramos no verão, com churrascos, jogos de beisebol e diversão no quintal, não se surpreenda muito se você se pegar pensando em qual foi a principal causa de violações nos setores de varejo, tecnologia e manufatura no último ano. Segundo a F5 Labs, foi o Magecart.
O que é Magecart? Magecart é, na verdade, o nome dado a um conjunto de grupos de cibercriminosos. Pelo menos uma dúzia de grupos está envolvida, e cada um tem sua própria especialidade. Por exemplo, o Grupo 5 está implicado no ataque à Ticketmaster em 2018. No entanto, esse tipo de ataque ocorre desde 2014, começando com o Grupo 1.
O grupo começou explorando servidores vulneráveis ou comprometendo páginas de carrinhos de compras. Eles alteravam o conteúdo, o código e os scripts, inserindo seu próprio software malicioso para roubar dados de cartões de crédito e informações pessoais.
Eles evoluíram a ponto de agora conseguirem capturar dados de pagamento por meio de um ataque de injeção de código na web, distribuído por serviços de publicidade de terceiros. Os invasores comprometem um serviço de publicidade e injetam código malicioso. A biblioteca JavaScript comprometida é então carregada no site de comércio eletrônico que exibe os anúncios desse serviço. Enquanto os clientes inserem os dados do cartão de crédito, o skimmer atua em segundo plano para roubá-los. Depois que os dados são capturados, você já sabe como funciona: eles são armazenados em um servidor e enviados de volta, chegam a vendedores e compradores do mercado clandestino, que compram produtos ou regravam os dados em um cartão virgem — e você nem faz ideia do que aconteceu.
Ticketmaster (como mencionado anteriormente), New Egg, Sotheby’s e British Airways foram todas vítimas. Na verdade, no caso da Ticketmaster, a empresa não foi diretamente invadida, mas seu fornecedor terceirizado foi comprometido. O módulo JavaScript personalizado criado para a Ticketmaster foi substituído pelo código do skimmer digital. Mas essas não foram as únicas vítimas. Centenas de sites foram comprometidos dessa forma.
Comprometer sistemas de terceiros é uma ótima maneira de obter acesso a um alvo. Muitas vezes, são empresas menores, com menos camadas de segurança. E elas têm acesso direto ao alvo. Lembra de quando os ataques ocorriam por meio de uma conexão de rede de back-end que não era devidamente segmentada nem protegida por algum tipo de autenticação? É mais ou menos a mesma coisa, só que agora são anúncios digitais. Deixe que outra pessoa faça a entrega por você.
A clonagem digital de cartões é atraente para os criminosos, pois tem grandes chances de sucesso e é relativamente fácil. Outros ataques exigem recursos como malware, comprometimento direto ou até mesmo engenharia social para serem bem-sucedidos. Eles demandam tempo, esforço e, às vezes, conhecimento especializado. Além disso, a taxa de sucesso é menor em comparação com o Magecart. Por que não optar pelo alvo fácil e altamente lucrativo?
O outro motivo para esse tipo de ataque ser bem-sucedido é que ele é quase impossível de ser detectado pelo cliente. Enquanto você, tomado pela empolgação, insere seus dados de pagamento para obter frete grátis, o skimmer fica invisivelmente sobre o campo, pronto para capturar seus dados. Tradicionalmente, os skimmers eram dispositivos físicos acoplados a caixas eletrônicos, bombas de combustível e terminais de pagamento. Podiam ser algo que cobria a entrada do cartão ou uma película fina projetada para se integrar à máquina. É possível evitar essas ameaças físicas observando atentamente o local onde o cartão é inserido ou passando o dedo pela abertura para verificar se há algo fora do comum. No ambiente digital, porém, o skimmer é praticamente invisível. Não é de admirar que os ataques de injeção continuem no topo do OWASP Top 10.
Os invasores estão sempre aprimorando seu código para evitar a detecção. Eles usam ofuscação, criptografia e até interferem em outros softwares de captura de dados de cartões que talvez já estejam em execução no site, desativando-os. Em um dos casos, o script também apagava constantemente as mensagens do console de depuração do navegador para dificultar a detecção e a análise. Segundo a TrendMicro, o script do Grupo 12 chega a verificar se há na URL palavras-chave como ‘billing’, ‘checkout’ e ‘purchase’. Eles até incluíram localização, adicionando a palavra francesa para cesta, ‘panier’, e a palavra alemã para checkout, ‘kasse’. Ao detectar as strings visadas, o script começa a capturar os dados e gera um número aleatório para identificar cada vítima. Quando a vítima fecha ou atualiza o navegador, outro evento JavaScript é acionado e envia os dados de pagamento capturados, a e-tag (número aleatório) e o domínio de comércio eletrônico para um servidor remoto.
Segundo a RiskIQ, o Magecart é uma grande ameaça ativa que pode ser maior do que as violações de sistemas de ponto de venda ocorridas na Target ou na Home Depot. Embora os pesquisadores estejam se conscientizando desse risco, isso não significa que conseguirão detectar todos os ataques. Os criminosos são astutos.
Como ocorre com muitas ameaças à segurança, uma abordagem em camadas, ou de defesa em profundidade, é fundamental. Obviamente, é importante aplicar correções a todos os servidores e segmentar os sistemas confidenciais. Também é essencial garantir que todas as extensões e os sistemas de terceiros estejam atualizados. Além disso, é importante verificar se o conteúdo e os arquivos fornecidos por meio de uma CDN (fonte externa) ou de outros domínios não foram alterados nem adulterados. E, certamente, um WAF com assinaturas ou conjuntos de regras voltados para vulnerabilidades conhecidas exploradas pelo Magecart pode ajudar.
Esses ataques estão sempre evoluindo, tornando-se mais sofisticados e buscando novas vítimas. E os ataques à cadeia de suprimentos dão aos criminosos acesso a milhares de sites. De uma só vez.
Por fim, qualquer violação serve como um bom lembrete para verificar regularmente as faturas do cartão de crédito e os extratos bancários e financeiros em busca de atividades incomuns. Viu algo, denuncie.
Se quiser uma análise mais aprofundada sobre o Magecart e outras vulnerabilidades de injeção, acesse o F5 Labs e confira o Relatório de Proteção de Aplicações 2019, Episódio 3: Ataques de injeção na Web ficam mais agressivos.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...