Codici maliziusi rubanu dati di carte di creditu / debitu da i buttreghi in linea

Está ocurriendo una nueva forma de clonación de tarjetas de crédito/débito. Según el sitio web de BleepingComputer, los ciberdelincuentes están ocultando un código malicioso dentro de la pasarela de pago (plataforma para realizar pagos) llamada «Authorize.net» de WooCommcerce, un complemento gratuito de código abierto (código fuente abierto) que se utiliza y se comercializa en WordPress. Para quien no lo sepa, WordPress es una plataforma destinada a la creación de páginas y blogs en línea.

Por lo general, cuando los piratas informáticos invaden un sitio web que utiliza la plataforma WordPress o Magenta con el complemento WooCommerce, inyectan un código JavaScript en el HTML de la tienda en línea o en las páginas de pago (finalización de la compra) del cliente. Estos scripts (códigos) roban información ingresada por el comprador, como por ejemplo, datos de tarjetas de crédito/débito (número, vigencia, código de seguridad), direcciones, número de teléfono, correos electrónicos, entre otra información. Sin embargo, los administradores de comercio electrónico actualmente contratan empresas de software de seguridad que realizan la verificación de HTML, lo que dificulta el acceso no autorizado a la información del cliente.

Cómo funciona la nueva técnica de robo de información de comercios electrónicos (tiendas online)

Los ciberdelincuentes, también llamados piratas informáticos, ahora utilizan scripts (códigos) maliciosos directamente en los módulos de la pasarela de pago del sitio web (tienda en línea/comercio electrónico), también conocida como plataforma de procesamiento de pagos, que se utiliza cuando el cliente realiza compras con su crédito. /tarjeta de débito. Como esta extensión de pago generalmente se usa después de que el usuario envía los detalles de la tarjeta y procede al pago para finalizar la compra, es más difícil para las soluciones de ciberseguridad detectar las acciones del invasor. Esta técnica fue descubierta por expertos en seguridad de Sucuri, una empresa que desarrolla servicios basados ​​en la nube para la seguridad y el rendimiento de sitios web.

Sucuri descubrió que los ciberdelincuentes modifican el archivo «class-wc-authorize-net-cim.php», que es uno de los archivos «Authorize.net» del complemento WooCommcerce, utilizado en sitios web de tiendas en línea que utilizan la plataforma WordPress. «Authorize.net» permite la integración de la pasarela de pago, el sistema utilizado para compras con tarjetas de crédito/débito, y es a través de sus archivos que se inyecta el código malicioso.

El código utilizado por el hacker en la parte inferior del archivo «class-wc-authorize-net-cim.php» verifica si el cuerpo de la solicitud HTTP tiene la cadena (línea de código) «wc-authorize-net-cim – número-de-cuenta-de-tarjeta-de-crédito». Esto significa que el código ya carga los datos de pago después de que un usuario revisa su carrito en una tienda en línea. Si hay alguna información allí, el código genera una contraseña aleatoria y encripta los detalles de pago de la víctima con AES-128-CBC y luego los almacena en un archivo de imagen que luego recuperan los ciberdelincuentes.

Después de realizar el procedimiento anterior, se realiza una segunda inyección de código en el archivo «wc-authorize-net-cim.min.js» en «Authorize.net». Este código captura detalles de pago adicionales de formularios en el sitio web de una tienda en línea. El propósito de esto es recopilar el nombre de la víctima además de la dirección de entrega, el número de teléfono y el código postal.