Casi 600 tiendas en línea han sido atacadas con éxito por el mismo grupo de hackers
Después de una larga investigación, los investigadores de Gemini Advisory descubrieron que un solo grupo de ciberdelincuentes es responsable de los ataques exitosos contra no menos de 570 sitios web de comercio electrónico con sede en 55 países de todo el mundo. La tripulación se llama Keeper, y sus ataques consisten en comprometer al objetivo e inyectar código malicioso que extrae detalles de la tarjeta de crédito y otra información personal durante el proceso de pago.
Es una operación clásica de Magecart, y está demostrando ser bastante exitosa. Según los cálculos de Gemini, entre abril de 2017 y el día de hoy, la pandilla Keeper ha comprometido alrededor de 700 mil tarjetas de crédito, que tienen un valor de mercado web oscuro de alrededor de $ 7 millones. Veamos cómo los expertos lograron sacar todas estas conclusiones.
Un panel de inicio de sesión reveló toda la infraestructura de Keeper
Los investigadores de Gemini descubrieron la pandilla Keeper cuando siguieron la URL de exfiltración utilizada durante un ataque de Magecart. Fueron recibidos por un formulario de inicio de sesión que habían visto antes. Se había utilizado un panel de inicio de sesión idéntico en otros ataques de Magecart, y los investigadores sabían que esto podría ser significativo. Una investigación adicional reveló que todos estos paneles de inicio de sesión apuntaban al mismo servidor dedicado, lo que confirmaba que todos los ataques habían sido llevados a cabo por el mismo grupo de piratas informáticos. El nombre "Keeper" proviene del hecho de que el dominio "fileskeeper [.] Org" ha sido una parte importante de la infraestructura del grupo.
Keeper: un formidable grupo de Magecart
Una vez identificados todos los objetivos anteriores, los investigadores de Gemini se dedicaron a investigar los detalles del modus operandi de Keeper. El grupo se dirige principalmente a tiendas en línea pequeñas y menos populares, aunque la lista de víctimas contiene algunos sitios web que tienen más de 500 mil visitantes mensuales. Alrededor del 85% de los sitios web atacados se han creado con Magento, lo que no debería ser una sorpresa. Magento es una de las plataformas más populares para crear sitios web de comercio electrónico y, como advirtió recientemente el FBI, muchas de las tiendas que se ejecutan en él están plagadas de vulnerabilidades fácilmente explotables.
Tras observar de cerca algunos de los ataques de Keeper, los expertos de Gemini vieron bastantes técnicas de ofuscación, lo que sugirió que los piratas informáticos saben lo que están haciendo. Sin embargo, los investigadores lograron encontrar un error. Se dejó un registro de acceso desprotegido, y después de examinarlo, los expertos encontraron los detalles de 184 mil tarjetas de crédito comprometidas entre julio de 2018 y abril de 2019. Así es como llegaron a la estimación de las ganancias totales de Keeper.
Al acceder a sitios web más pequeños, los piratas informáticos de Keeper no están llamando demasiado la atención sobre sí mismos y, al mismo tiempo, es obvio que están obteniendo grandes ganancias en la operación. Tienes que aceptar que tienen pocas razones para dejar de fumar ahora.
