Хакеры использовали Stripe и Google Tag Manager для кражи данных банковских карт
Современные киберпреступники нашли новый способ превратить платежную систему Stripe в платформу для размещения вредоносного ПО, используемого для кражи данных банковских карт у онлайн-покупателей. Об этом сообщают специалисты по кибербезопасности из компании Sansec, обнаружившие данную кампанию на этой неделе. Атаки происходят через Google Tag Manager и скомпрометированные сайты на Magento, а украденные данные пересылаются через API Stripe.
Механизм атаки
По данным Sansec, злоумышленникам удалось скомпрометировать ряд веб-сайтов, использующих платформы Magento или Adobe Commerce. На этих сайтах они внедряли вредоносный контейнер Google Tag Manager (GTM).
Когда пользователь заходит на такой сайт, его браузер загружает GTM-контейнер с серверов Google. При переходе к оформлению заказа (checkout) GTM-код инициирует запрос к API платежной системы Stripe.
Как происходит кража данных
Google Tag Manager (GTM) — это бесплатный инструмент, который позволяет владельцам сайтов управлять различными скриптами, такими как отслеживание аналитики, без прямого изменения кода страницы. Поскольку GTM широко используется, загрузка кода с домена googletagmanager.com обычно не вызывает подозрений.
Сама платежная система Stripe, предназначенная для обработки финансовых транзакций в интернете, также не вызывает опасений. Однако GTM в данном случае получает запись о клиенте Stripe, контролируемую злоумышленниками. Внутри этой записи скрыты фрагменты вредоносного JavaScript-кода. Веб-сайт загружает эти фрагменты, собирает их в полноценный скрипт и запускает в браузере пользователя, фактически превращая Stripe в хранилище для малвари.
После запуска скрипт начинает отслеживать страницу оформления заказа. Как только пользователь вводит данные своей банковской карты — номер, CVV-код, имя, адрес и другую информацию — вредоносный код копирует все эти данные.
Смотрите также:
Nvidia представила дорожную карту процессоров RTX Spark: архитектуры N2X и N3X уже в разработке http://euroelectrica.ru/nvidia-predstavila-dorozhnuyu-kartu-protsessorov-rtx-spark-arhitekturyi-n2x-i-n3x-uzhe-v-razrabotke/.
Интересное по теме: Ожидаемые сроки выхода бета-версий iOS 27
Советы в статье "Технологический бум вокруг препаратов GLP-1: маркетинг или реальная польза?" здесь.
Вместо немедленной отправки данных злоумышленникам, вредоносное ПО сначала объединяет всю украденную информацию в единую строку, применяет XOR-обфускацию (метод сокрытия данных) и сохраняет результат локально в браузере. Затем малварь создает поддельного клиента Stripe, делит похищенные данные на две части, формирует новый объект клиента Stripe в аккаунте атакующих и загружает туда информацию.
Как отмечают специалисты Sansec, как сам вредоносный код, так и украденные данные банковских карт передаются через домен api.stripe.com. Поскольку большинство интернет-магазинов по умолчанию разрешают трафик к этому домену, скиммер (программа для кражи данных) успешно обходит правила Content Security Policy и сетевые фильтры, которые могли бы заблокировать трафик к неизвестным вредоносным доменам.
