Aanvallers installeren e-skimmers dankzij een drie jaar oude kwetsbaarheid waarschuwt de FBI

In tegenstelling tot andere vermeldingen in de cybersecurity-woordenlijst van technische termen, is het woord 'e-skimmer' vrij eenvoudig uit te leggen. Net zoals een fysieke kaartafschuimer bankkaartgegevens van een geldautomaat verwijdert, steelt een e-skimmer de financiële gegevens van klanten van de afrekenpagina's van e-commerce websites. Vreemd genoeg gebruiken cybersecurity-professionals tegenwoordig echter zelden het woord 'e-skimmer'. De meeste van deze aanvallen worden nu beschreven met de term 'Magecart', en dat komt omdat de afgelopen jaren de meeste e-skimmers zijn geïnstalleerd in online winkels die zijn gebouwd met Magento, een open-sourceplatform voor e-commerce websites.

Aanvankelijk werd de term "Magecart" geassocieerd met een enkele groep hackers die meerdere regels JavaScript-code voor het stelen van kaarten in de betaalpagina's van online winkels injecteerde, maar later werd de malware zo populair bij zoveel verschillende bedreigingsactoren, dat het werd langzaamaan een verzamelnaam voor alle aanvallen van dit type. Heel wat spraakmakende websites werden het slachtoffer van Magecart-aanvallen, en in oktober vorig jaar waarschuwde niemand minder dan de FBI beheerders van online winkels voor de risico's van Magecart.

Zoals te verwachten, luisterde niet iedereen, en Magecart verdween niet van de ene op de andere dag. Integendeel, e-commerce websites blijven lijden aan Magecart-infecties en cybersecurity-specialisten, evenals wetshandhavingsinstanties, blijven proberen deze te voorkomen. Onlangs gaf de FBI nog een waarschuwing, deze keer over een bepaalde aanvalsvector die door Magecart-acteurs wordt gebruikt.

Hackers gebruiken een kwetsbare Magento-plug-in om Magecart-aanvallen uit te voeren

Om kwaadaardige code in een website te kunnen injecteren, moeten de hackers de beveiliging van het doelwit op een of andere manier in gevaar brengen, en de FBI heeft blijkbaar een trend in hun acties opgemerkt. Volgens ZDNet worden eigenaren van online winkels die een oude Magento-plug-in gebruiken, genaamd Magento Mass Import (of MAGMI), aangespoord om de nodige stappen te nemen en de beveiliging van hun website te verbeteren.

In april 2017 ontdekten beveiligingsexperts een cross-site scripting-kwetsbaarheid in MAGMI 0.7.22, waardoor hackers toegang hebben tot bestanden en kwaadaardige code in de beoogde website kunnen injecteren. De kwetsbaarheid wordt bijgehouden als CVE-2017-7391 en is blijkbaar nog steeds aanwezig op veel websites. Volgens de waarschuwing van de FBI werden nogal wat recente aanvallen gefaciliteerd door CVE-2017-7391. Zodra de hackers hun code hebben geïnjecteerd, schrapt de malware nietsvermoedende financiële gegevens van kopers, codeert Base64 deze in een JPG-bestand en stuurt deze naar de cybercriminelen.

CVE-2017-7391 is een tijdje geleden gerepareerd en het bijwerken van MAGMI naar versie 0.7.23 zal deze specifieke infectievector stoppen. In hun waarschuwing bevatten de FBI ook indicatoren voor compromissen, die beheerders kunnen gebruiken om de beveiliging van hun websites te verbeteren. Helaas is dit misschien niet voldoende om een op Magento gebaseerde online winkel goed te beveiligen.

Online winkels gebruiken nog steeds Magento 1

Het probleem is groter dan je zou denken, en om te beseffen waarom dit het geval is, hebben we wat geschiedenisles nodig. Magento is oorspronkelijk ontwikkeld door een bedrijf genaamd Varien en werd voor het eerst gelanceerd in maart 2008. Na een flink aantal vertragingen zag Magento 2.0, de nieuwste grote release, zeven jaar later, in november 2015, het levenslicht.

CVE-2017-7391, de drie jaar oude kwetsbaarheid die de FBI-waarschuwing veroorzaakte, is te vinden in MAGMI, een plug-in die alleen werkt met Magento 1. Met andere woorden, als een website MAGMI gebruikt, is deze gebouwd op een behoorlijk oud platform . Bovendien zullen op 30 juni 2020 alle Magento 1.x-versies het einde van hun levensduur bereiken en geen beveiligingsupdates meer ontvangen.

Met andere woorden, nadat ze hun MAGMI-plug-in hebben bijgewerkt, moeten beheerders die door deze aanval zouden kunnen worden getroffen, ook nadenken over het migreren van hun winkels naar modernere en veiligere platforms.