Aantal aanvallen op e-commerceplatforms stijgt

Online shoppen neemt een hoge vlucht sinds de coronacrisis. Cijfers van Gfk laten zien dat de aankopen bij webshops sterk zijn toegenomen sinds COVID-19 en inmiddels bestelt 24 procent van de consumenten ook hun boodschappen online. Ontwikkelingen waar ook cybercriminelen van op de hoogte zijn. Zij breiden hun activiteiten daarom uit en richten zich op de bijbehorende creditcardgegevens.

Afb. 1: Toename aangetaste e-commerce websites

Criminele bendes die zich bezighouden met skimming van kaarten, brengen e-commerce websites in gevaar met nieuwe aanvalstactieken. Het doel van de aanvallers is om hun aanvallen zo lang mogelijk onopgemerkt uit te kunnen voeren door de skimmercode en het bijbehorende dataverkeer te verbergen in betrouwbare scripts. Daartoe worden steeds vaker scripts van derden of netwerken voor content delivery (CDN's) gebruikt. In het verleden werden zeer veel e-commercesites aangetast door het populaire Content Delivery Network (CDN) Amazon CloudFront te gebruiken als host voor skimmercodes.

Magecart-groep

De beveiligingsonderzoekers van Zscaler volgen de point-of-sale skimming-activiteiten al enkele maanden. De meeste van deze activiteiten zijn gerelateerd aan de Magecart-groep, die zich richt op het Magento-platform. Daarnaast werd een toename van aanvallen op andere e-commerceplatforms waargenomen.

Afb. 2: Overzicht meest getroffen e-commerceplatforms in de afgelopen twee maanden (bron: Zscaler Cloud-database)

Skimming

Onlangs kwamen beveiligingsonderzoekers een skimmer-script met meerdere varianten tegen dat zich richt op e-commerceplatforms zoals Magento, BigCommerce en anderen. Sommige varianten van deze skimmer worden gehost op populaire CDN's en op gecompromitteerde Amazon S3-buckets. CDN's spelen een belangrijke rol bij de snelle overdracht van internetcontent zoals HTML-pagina's, JavaScript-bestanden, video's en afbeeldingen door versies van de content in het cachegeheugen op te slaan en zo de afstand tussen de client en de webservers te verkleinen.

Tegenwoordig bedienen CDN's de meeste openbare webcontent en hun populariteit neemt ook toe onder cybercriminelen. In de regel zijn aangetaste CDN's via hun verbinding van invloed op een groot aantal e-commerce websites. Beveiligingsonderzoekers hebben onlangs een geval ontdekt waarin de BigCommerce CDN werd gebruikt voor de content van een bepaalde website en werd voorzien van een skimming-script.

Magecart richt zich op Magento

Magecart is skimming-software die al jaren wordt gebruikt door verschillende groepen cybercriminelen voor hun activiteiten. Nu is er een nieuw skimming-script ontdekt dat zich voornamelijk richt op het Magento-platform. Het ontdekte skimmer-script is speciaal ontworpen voor betalingsplatforms zoals Braintree en Stripe. De meeste e-commercebedrijven besteden het betalingsproces uit aan PCI DSS-compatibele en door derden gehoste velden. Dit is een set iframes die betalingsgegevens verzamelt.

Tot dusver hebben skimmer-groepen de legitieme betalingsscripts gecompromitteerd en het clientscript vanuit hun gecontroleerde domeinen geladen. In plaats van een HTML-formulier rechtstreeks in de besmette websites te injecteren, worden iframes gebruikt om de valse betalingstekstvelden over de legitieme tekstvelden in te voegen. De legitieme betalingsvelden worden verborgen zodra het iframe wordt gevuld met de valse betalingstekstvelden. Aangezien zowel de legitieme als de vervalste betalingsvelden worden geladen in de vorm van een iframe, is herkenning moeilijk. De gestolen betalingsgegevens worden ook in de browser van het slachtoffer opgeslagen als cookies om te voorkomen dat dubbele informatie naar de C&C-server wordt gestuurd.

Waakzaamheid geboden

Met de toegenomen online winkelactiviteiten is het extra belangrijk dat websitebeheerders hun contentmanagement-systeem en plug-ins up-to-date houden en een veilig CDN gebruiken om de website-content te leveren. Online shoppers moeten ervoor zorgen dat ze alleen websites bezoeken waarvan bekend is dat ze legitiem zijn. Bovendien moeten ze de tips voor veilig online winkelen volgen en bijvoorbeeld de URL van de online shop rechtstreeks in de browser invoeren, zodat ze niet naar valse pagina's worden doorgestuurd.

Meer informatie over deze dreiging is hier beschikbaar.