Ny MageCart-kampanje unngår forskersandkasser
En dårlig aktør som driver MageCart-kortstjælende skimmer-malware, gjennomfører nok en pågående kampanje. Kampanjen er spesiell, siden den har en ekstra komponent som gjør at skadelig programvare trygt kan unnslippe alle forsker-hotbeds og sandkassesystemer og bare distribueres på maskinene til virkelige ofre.
MageCart malware har blitt oppdatert med en ekstra komponent - en nettleserprosess. Den nye prosessen sjekker om vertssystemet ikke kjører en virtuell maskin - et nesten sikkert tegn på at den underliggende maskinvaren brukes som testbed for å fange og analysere skadelig programvare. Kontrollene gjøres ved hjelp av JavaScripts WebGL API.
Grunnen til at WebGL brukes er at hackerne bruker nettleserens prosesskontroll for å få informasjon om systemets grafikkenhet. Virtuelle maskiner vil enten bruke en programvarerenderer eller ganske enkelt gi bort det faktum at den diskrete GPUen brukes i et virtualisert miljø – begge alternativene fungerer for å identifisere vertssystemet som en svært sannsynlig forskersandbox.
Hvis VM sjekker alle returnegativer, fortsetter MageCart-skimmeren med å skrape alle slags nettleserfelt relatert til finansiell eller personlig identifiserbar informasjon, fra eierens navn til telefonnummer og kredittkortdatastrenger.
Forskerne som undersøkte den nye kampanjen med MageCart, bemerket at det er en relativt ny og uvanlig taktikk å kjøre VM-sjekker gjennom nettleseren.
MageCart i seg selv er navnet på en tåkete gruppe trusselaktører, samlet av deres taktikk og verktøy som brukes. MageCart-aktører vil vanligvis bruke skript som hopper over kredittkortdata som er lagt inn på betalingssidene i nettbutikken, og deretter sender disse dataene til operatørene av skadelig programvare.
Denne metoden er spesielt farlig for vanlige brukere, siden det ikke er synlige skader eller funksjonsfeil med systemet deres, og de kan fortsette å handle på nettet eller utføre ulike betalinger med forskjellige kort, uten å innse at informasjonen deres har blitt kompromittert og eksfiltrert.
