Ott 03, 2023 Attacchi, Minacce, News, RSS

I ricercatori di sicurezza BlackBerry hanno individuato una nuova campagna di web skimming che colpisce i provider delle infrastrutture per i pagamenti online. Soprannominata “Silent Skimmer”, la campagna mira a compromettere la fase di pagamento e ottenere i dati sensibili degli utenti.

Il web skimming, anche conosciuto come formjacking o attacco magecart, è una tecnica piuttosto popolare che consiste nell’iniettare del codice malevolo in un sito web ed estrarre le informazioni inserite nei form HTML dagli utenti.

Gli attaccanti hanno sfruttato diverse vulnerabilità presenti nelle applicazioni web per accedere ai server e prendere il controllo dell’infrastruttura. Secondo il team di BlackBerry, il gruppo utilizza almeno nove tool open-source diversi; tra questi ci sono BadPotato, GodPotato e SharpToken, i primi due per la privilege escalation e l’ultimo per la codifica delle stringhe, e CobaltStrike.

Una volta ottenuti i privilegi di amministratore, i cybercriminali usano degli script JavaScript offuscati per effettuare lo scraping dei dettagli di pagamento non appena l’utente li inserisce nel form; queste informazioni vengono poi inviate al server C2 per essere sfruttate in altri attacchi.

Il gruppo sfrutta l’hosting dei virtual private server (VPS) temporanei ospitati per lo più su Azure come serve C2. Generalmente, ogni nodo VPS degli attaccanti rimane attivo per meno di una settimana prima di essere sostituito da un altro.

È interessante notare che il gruppo sceglie la localizzazione dei server in base al luogo in cui si trova la vittima: per esempio, se il target è un business con sede in Canada, allora il gruppo attiva un VPS nella stessa zona; ciò, spiegano i ricercatori, serve a rendere più difficile l’individuazione di traffico sospetto.

Il gruppo risulta attivo da più di un anno. Al momento non si conosce l’identità degli attaccanti, ma numerosi indizi puntano verso cybercriminali di origini cinesi.

Inizialmente gli attacchi prendevano di mira compagnie nell’area Asia Pacifica, poi, a partire da ottobre 2022, hanno cominciato a colpire business del Nord America e dell’America Latina. Secondo i ricercatori, è probabile che il gruppo sia alla ricerca di nuove vittime e opportunità di attacco, e che quindi nei prossimi mesi assisteremo a nuove campagne Silent Skimmer.

• Open Source, server c2, silent skimmer, vps, web scraping, web skimming