Cybersecurity researchers discovered
this past weekend that more than 2000 online stores using
Magento software. Have been affected stores with both the version 1
and the version 2 of Magento.
The founder of
Sanguine Security (SanSec) Willem de Groot, reported that on Friday were
infected 10 stores, on Saturday 1058, 603 on Sunday and finally 233 on Monday
of this same week. The founder added that this is the largest campaign that
they have detected since SanSec began monitoring in 2015, being
the previous record 962 hacked stores.
The attackers use a PHP webshell named 'mysql.php'
on the server where Magento is installed, which allows the
atacantes modificar el código JavaScript con la finalidad de inyectar código malicioso.
Dependiendo la versión utilizada del software en la tienda se inyecta o bien jquery.js
en la versión 1 o prototype.js en la versión 2.
La única finalidad que tiene el código inyectado es cargar otro
código malicioso que se encuentra en un servidor alojado por el atacante. The
fichero JavaScript malicioso se encarga de cargar la siguiente URL: mcdnn[.]net/122002/assets/js/widget.js.
El archivo widget.js es el encargado de ejecutar el código
que robara los datos de la tarjeta de crédito a los usuarios durante el proceso
de pago y enviara estos datos robados a la URL https://imags.pw/502.jsp, una URL que se
encuentra en un servidor controlado por el atacante.
Aunque por ahora no se sabe bien como irrumpir los atacantes,
el mes pasado se publico en foros de hacking clandestinos anuncios de
vulnerabilidad de día cero en Magento 1.x. En el anuncio el usuario con nombre z3r0day,
ofrecía un exploit de ejecución remota de código por 5 mil euros. En cuanto a
la versión 2 se desconoce cual puede ser el vector de entrada, ya que no se han
encontrado exploits a la venta.