Η Ανωνυμία στο Dark Web: Τεχνικές και Εργαλεία

7 Σεπτεμβρίου 2023 by Αλέξανδρος Βυζάντιος

Το Dark Web (σκοτεινός ιστός) είναι μια μικρή, αποκρυφή περιοχή του Διαδικτύου που δεν είναι προσβάσιμη με κανονικούς περιηγητές όπως το Google Chrome, το Mozilla Firefox ή το Microsoft Edge. Αντίθετα, για να αποκτήσετε πρόσβαση στο Dark Web, χρειάζεστε ειδικό λογισμικό, όπως το Tor Browser.

Σε αυτό το άρθρο, θα εξετάσουμε τη σημασία της ανωνυμίας στο Dark Web και τα εργαλεία που χρησιμοποιούνται για να διατηρηθεί η ασφάλεια και η ιδιωτικότητα των χρηστών.

Τα κύρια χαρακτηριστικά του Dark Web είναι τα εξής:

Ανωνυμία: Το Dark Web προσφέρει αυξημένη ανωνυμία στους χρήστες του, καθώς η κίνηση του διαδικτύου τους δρομολογείται μέσα από πολλούς κόμβους του Tor Network, προστατεύοντας την προσωπική τους ταυτότητα.
Κρυπτογραφία: Οι συνδέσεις και οι επικοινωνίες στο Dark Web είναι συχνά κρυπτογραφημένες, εξασφαλίζοντας την ασφάλεια των δεδομένων.
Περιεχόμενο: Το Dark Web περιέχει μια ποικιλία περιεχομένου, συμπεριλαμβανομένων ιστοσελίδων, φόρουμ, καταστημάτων, και πολλών άλλων, μερικές φορές προσβάσιμα μόνο μέσω συγκεκριμένων διευθύνσεων URL.
Εμπορία: Το Dark Web έχει γίνει γνωστό για τον ανώνυμο εμπορίο διαφόρων ειδών, συμπεριλαμβανομένων ναρκωτικών, όπλων, προσωπικών δεδομένων και πολλών άλλων.
Κρυμμένες Υπηρεσίες: Στο Dark Web υπάρχουν κρυμμένες υπηρεσίες (Hidden Services) που προσφέρουν περιεχόμενο και υπηρεσίες που δεν είναι ορατές στον κανονικό ιστό.

Είναι σημαντικό να σημειώσουμε ότι, ενώ το Dark Web χρησιμοποιείται από ορισμένους για νόμιμους σκοπούς, όπως η ανωνυμία και η προστασία της ιδιωτικότητας, έχει επίσης γίνει γνωστό για την παράνομη δραστηριότητα.

Το Dark Web αντιπροσωπεύει έναν κόσμο ανωνυμίας και ασφάλειας στον κυβερνοχώρο. Για να διατηρήσετε την ανωνυμία σας στο Dark Web, χρειάζεται να χρησιμοποιήσετε εξειδικευμένα εργαλεία και τεχνικές. Εδώ είναι μερικά από τα βασικά εργαλεία που χρησιμοποιούν οι χρήστες του Dark Web για να διασφαλίσουν την ανωνυμία τους:

1. Το Τοr (The Onion Router): Το Tor είναι ένα από τα κύρια εργαλεία που χρησιμοποιούν οι χρήστες του Dark Web για να προστατεύσουν την ανωνυμία τους. Αυτή η τεχνολογία λειτουργεί με το να κατευθύνει την κίνηση δεδομένων μέσα από ένα δίκτυο από πολλαπλούς κόμβους, κρυπτογραφώντας την κάθε στρώση πληροφοριών σαν κρεμμύδι (το λεγόμενο “στρώμα κρεμμυδιού”). Αυτό κάνει την παρακολούθηση της κίνησης πολύ δύσκολη και προστατεύει την ανωνυμία των χρηστών.

2. Υπηρεσίες VPN (Virtual Private Networks): Οι υπηρεσίες VPN είναι δημοφιλείς για τη δημιουργία μιας ασφαλούς και ανώνυμης σύνδεσης στο Dark Web. Ένα VPN κρυπτογραφεί την κίνηση δεδομένων και κρύβει την πραγματική διεύθυνση IP του χρήστη, αντικαθιστώντας την με μια διεύθυνση IP από έναν διακομιστή στον κόμβο του VPN.

3. Κρυπτογραφία: Η χρήση της κρυπτογραφίας είναι απαραίτητη στο Dark Web. Οι χρήστες κρυπτογραφούν τα μηνύματά τους και τις πληροφορίες τους για να αποτρέψουν την παρακολούθηση από τρίτους. Πολλές υπηρεσίες στο Dark Web προσφέρουν τη δυνατότητα ανταλλαγής κρυπτογραφημένων μηνυμάτων.

4. Προσοχή στα Αυθαίρετα Κατευθυνόμενα Δεδομένα (Metadata): Οι χρήστες του Dark Web πρέπει να είναι προσεκτικοί με τα metadata. Αυτά είναι πληροφορίες που μπορούν να αποκαλύψουν πολλά για την ανωνυμία του χρήστη, όπως η χρονολογία και η τοποθεσία. Οι χρήστες πρέπει να είναι προσεκτικοί όταν ανεβάζουν φωτογραφίες και άλλα αρχεία στο Dark Web.

5. Προστασία από Κοινοποίηση Πληροφοριών (Information Leakage): Η προστασία από διαρροές πληροφοριών είναι κρίσιμη. Οι χρήστες πρέπει να αποφεύγουν την αναφορά προσωπικών πληροφοριών και την κοινοποίηση περαιτέρω πληροφοριών στο Dark Web.

6. Tails (The Amnesic Incognito Live System): Το Tails είναι ένα λειτουργικό σύστημα που βασίζεται στο Linux και σχεδιάστηκε ειδικά για ανωνυμία. Εκκινεί από USB, δρομολογεί όλη την κίνηση μέσω του Tor, και δεν αφήνει ίχνη στον υπολογιστή που το χρησιμοποιείτε.

7. Κρυπτονομίσματα: Τα κρυπτονομίσματα όπως το Bitcoin, το Monero και το Zcash είναι δημοφιλή στο Dark Web και προσφέρουν ανωνυμία στις χρηματικές συναλλαγές. Οι χρήστες μπορούν να χρησιμοποιήσουν αυτά τα κρυπτονομίσματα για να πληρώσουν για προϊόντα και υπηρεσίες χωρίς να αποκαλύπτουν την ταυτότητά τους.

8. Κρυπτογραφία Μηνυμάτων: Στο Dark Web, η ασφαλής ανταλλαγή μηνυμάτων είναι ουσιαστική. Οι χρήστες χρησιμοποιούν εργαλεία όπως το PGP (Pretty Good Privacy) για να κρυπτογραφήσουν τα μηνύματά τους. Αυτό εξασφαλίζει ότι μόνο ο παραλήπτης μπορεί να αποκρυπτογραφήσει το μήνυμα.

9. Κρυπτογραφημένα Αρχεία: Στο Dark Web, οι χρήστες μπορούν να ανεβάσουν και να κατεβάσουν κρυπτογραφημένα αρχεία. Αυτό προστατεύει το περιεχόμενο από ανεπιθύμητη πρόσβαση και παρακολούθηση.

Για να μπείτε στο Dark Web, θα χρειαστεί να ακολουθήσετε τα παρακάτω βήματα:

Λήψη και Εγκατάσταση του Tor Browser:
- Το Tor Browser είναι ο πιο δημοφιλής τρόπος να αποκτήσετε πρόσβαση στο Dark Web. Πηγαίνετε στην επίσημη ιστοσελίδα του Tor Project: https://www.torproject.org/
- Κάντε κλικ στο κουμπί “Download Tor” και επιλέξτε την έκδοση που αντιστοιχεί στο λειτουργικό σας σύστημα (Windows, macOS, Linux).
- Αφού κατεβάσετε το αρχείο εγκατάστασης, ακολουθήστε τις οδηγίες για να εγκαταστήσετε το Tor Browser στον υπολογιστή σας.
Εκκίνηση του Tor Browser:
- Αφού εγκαταστήσετε το Tor Browser, εκκινήστε το από το μενού εφαρμογών του υπολογιστή σας. Μόλις εκκινήσει, το Tor Browser θα αρχίσει να συνδέεται στο δίκτυο Tor και θα δημιουργήσει μια ασφαλή σύνδεση.
Περιηγηθείτε στο Dark Web:
- Μόλις ολοκληρωθεί η διαδικασία σύνδεσης, το Tor Browser θα σας εμφανίσει έναν περιηγητή που μοιάζει με τον Mozilla Firefox. Χρησιμοποιήστε τον αυτόν τον περιηγητή για να πλοηγηθείτε στο Dark Web.
- Μπορείτε να εισάγετε διευθύνσεις URL που τελειώνουν σε “.onion” για να επισκεφθείτε ιστοσελίδες στο Dark Web.

Αλέξανδρος Βυζάντιος

Hacks.gr

Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας. Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους. Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.

https://hacks.gr/

alex@hacks.gr

Αφήστε μια απάντηση Ακύρωση απάντησης

Έκτακτες ενημερώσεις της Apple για 3 zero-days

Η Apple κυκλοφόρησε επείγουσες ενημερώσεις ασφαλείας για την επιδιόρθωση τριών νέων ευπαθειών μηδενικής ημέρας που αξιοποιήθηκαν σε επιθέσεις με στόχο χρήστες iPhone και Mac, για συνολικά 16 μηδενικές ημέρες που διορθώθηκαν φέτος.

Δύο σφάλματα εντοπίστηκαν στη μηχανή του προγράμματος περιήγησης WebKit (CVE-2023-41993) και στο πλαίσιο ασφαλείας (CVE-2023-41991), επιτρέποντας στους επιτιθέμενους να παρακάμψουν την επικύρωση υπογραφών χρησιμοποιώντας κακόβουλες εφαρμογές ή να αποκτήσουν αυθαίρετη εκτέλεση κώδικα μέσω κακόβουλα διαμορφωμένων ιστοσελίδων.

Η τρίτη εντοπίστηκε στο Kernel Framework, το οποίο παρέχει APIs και υποστήριξη για επεκτάσεις του πυρήνα και οδηγούς συσκευών που κατοικούν στον πυρήνα. Οι τοπικοί επιτιθέμενοι μπορούν να εκμεταλλευτούν αυτό το ελάττωμα (CVE-2023-41992) για να κλιμακώσουν τα προνόμιά τους.

Η Apple διόρθωσε τα τρία σφάλματα μηδενικής ημέρας στο macOS 12.7/13.6, στο iOS 16.7/17.0.1, στο iPadOS 16.7/17.0.1 και στο watchOS 9.6.3/10.0.1 αντιμετωπίζοντας ένα πρόβλημα επικύρωσης πιστοποιητικών και μέσω βελτιωμένων ελέγχων.

“Η Apple γνωρίζει μια αναφορά ότι αυτό το ζήτημα μπορεί να έχει γίνει ενεργά αντικείμενο εκμετάλλευσης σε εκδόσεις του iOS πριν από το iOS 16.7”, αποκάλυψε η εταιρεία στις συμβουλές ασφαλείας που περιγράφουν τα κενά ασφαλείας.

Ο κατάλογος των επηρεαζόμενων συσκευών περιλαμβάνει παλαιότερα και νεότερα μοντέλα συσκευών και περιλαμβάνει:

iPhone 8 και νεότερες εκδόσεις
iPad mini 5ης γενιάς και νεότερη έκδοση
Mac που τρέχουν macOS Monterey και νεότερα
Apple Watch Series 4 και νεότερες εκδόσεις

Και τα τρία zero-days βρέθηκαν και αναφέρθηκαν από τον Bill Marczak του Citizen Lab στο Munk School του Πανεπιστημίου του Τορόντο και τη Maddie Stone της ομάδας ανάλυσης απειλών της Google.

Ενώ η Apple δεν έχει παράσχει ακόμη πρόσθετες λεπτομέρειες σχετικά με την εκμετάλλευση των ελαττωμάτων στη φύση, οι ερευνητές ασφαλείας του Citizen Lab και του Google Threat Analysis Group έχουν συχνά αποκαλύψει σφάλματα μηδενικής ημέρας που έχουν χρησιμοποιηθεί σε στοχευμένες επιθέσεις κατασκοπευτικού λογισμικού με στόχο άτομα υψηλού κινδύνου, συμπεριλαμβανομένων δημοσιογράφων, πολιτικών της αντιπολίτευσης και αντιφρονούντων.

Η Citizen Lab αποκάλυψε δύο άλλα zero-day (CVE-2023-41061 και CVE-2023-41064), τα οποία επίσης διορθώθηκαν από την Apple σε επείγουσες ενημερώσεις ασφαλείας νωρίτερα αυτό το μήνα και καταχράστηκαν ως μέρος μιας αλυσίδας εκμετάλλευσης με μηδενικό κλικ (που ονομάστηκε BLASTPASS) για να μολύνουν πλήρως επιδιορθωμένα iPhones με το εμπορικό spyware Pegasus της NSO Group.

Από την αρχή του έτους, η Apple έχει επίσης επιδιορθώσει:

δύο zero-days (CVE-2023-37450 και CVE-2023-38606) τον Ιούλιο
τρία zero-days (CVE-2023-32434, CVE-2023-32435 και CVE-2023-32439) τον Ιούνιο
τρία ακόμη zero-days (CVE-2023-32409, CVE-2023-28204 και CVE-2023-32373) τον Μάιο
δύο zero-days (CVE-2023-28206 και CVE-2023-28205) τον Απρίλιο
και ένα ακόμη zero-day του WebKit (CVE-2023-23529) τον Φεβρουάριο

Anastasis Vasileiadis

Ο Anastasis είναι ένας από τους κορυφαίους αρθρογράφους μας, ειδικευμένος σε θέματα κυβερνοασφάλειας.

Με την εμπειρία του, παρέχει στην κοινότητα πολύτιμες γνώσεις και συμβουλές.

https://beacons.ai/cyberkid1987

cyberkid@hacks.gr

Νέο κακόβουλο λογισμικό από τους ‘Sandman’ hackers

Μια άγνωστη ομάδα χάκερς με την ονομασία “Sandman” στοχεύει παρόχους τηλεπικοινωνιακών υπηρεσιών στη Μέση Ανατολή, τη Δυτική Ευρώπη και τη Νότια Ασία, χρησιμοποιώντας ένα αρθρωτό κακόβουλο λογισμικό κλοπής πληροφοριών με την ονομασία “LuaDream”.

Αυτή η κακόβουλη δραστηριότητα ανακαλύφθηκε από την SentinelLabs σε συνεργασία με την QGroup GmbH τον Αύγουστο του 2023, η οποία ονόμασε τον απειλητικό παράγοντα και το κακόβουλο λογισμικό από το εσωτερικό όνομα του backdoor ‘DreamLand client’.

Το επιχειρησιακό στυλ του Sandman είναι να διατηρεί χαμηλό προφίλ για να αποφεύγει την ανίχνευση, ενώ παράλληλα εκτελεί πλευρικές μετακινήσεις και διατηρεί μακροχρόνια πρόσβαση σε παραβιασμένα συστήματα για να μεγιστοποιήσει τις επιχειρήσεις κυβερνοκατασκοπείας του.

Δημοφιλής στόχος

Η Sandman στοχεύει σε παρόχους τηλεπικοινωνιακών υπηρεσιών στη Μέση Ανατολή, τη Δυτική Ευρώπη και τη Νότια Ασία.

Η SentinelOne αναφέρει ότι ο δράστης απειλής αποκτά πρώτα πρόσβαση σε ένα εταιρικό δίκτυο χρησιμοποιώντας κλεμμένα διαπιστευτήρια διαχείρισης.

Μόλις παραβιαστεί το δίκτυο, ο Sandman έχει παρατηρηθεί να χρησιμοποιεί επιθέσεις “pass-the-hash” για την πιστοποίηση ταυτότητας σε απομακρυσμένους διακομιστές και υπηρεσίες, αποσπώντας και επαναχρησιμοποιώντας τους κατακερματισμούς NTLM που είναι αποθηκευμένοι στη μνήμη.

Η έκθεση της SentinelLabs εξηγεί ότι, σε μια περίπτωση, όλοι οι σταθμοί εργασίας που είχαν ως στόχο οι χάκερς είχαν ανατεθεί σε διευθυντικό προσωπικό, υποδεικνύοντας το ενδιαφέρον του επιτιθέμενου για προνομιακές ή εμπιστευτικές πληροφορίες.

LuaDream malware

Η SandMan έχει παρατηρηθεί να αναπτύσσει ένα νέο αρθρωτό κακόβουλο λογισμικό με την ονομασία “LuaDream” σε επιθέσεις που χρησιμοποιούν αεροπειρατεία DLL σε στοχευμένα συστήματα. Το κακόβουλο λογισμικό παίρνει το όνομά του από τη χρήση του μεταγλωττιστή LuaJIT just-in-time για τη γλώσσα σεναρίων Lua

Το κακόβουλο λογισμικό χρησιμοποιείται για τη συλλογή δεδομένων και τη διαχείριση πρόσθετων προγραμμάτων που επεκτείνουν τη λειτουργικότητά του, τα οποία λαμβάνονται από τον διακομιστή εντολών και ελέγχου (C2) και εκτελούνται τοπικά στο σύστημα που έχει παραβιαστεί.

Η ανάπτυξη του κακόβουλου λογισμικού φαίνεται να είναι ενεργή, με μια ανακτημένη συμβολοσειρά εκδόσεων που υποδεικνύει τον αριθμό έκδοσης “12.0.2.5.23.29”, ενώ οι αναλυτές έχουν δει ενδείξεις για αρχεία καταγραφής και λειτουργίες δοκιμών που πηγαίνουν πίσω μέχρι τον Ιούνιο του 2022.

Η σταδιοποίηση του LuaDream βασίζεται σε μια εξελιγμένη διαδικασία επτά βημάτων στη μνήμη με στόχο να αποφύγει την ανίχνευση, η οποία ξεκινά είτε από την υπηρεσία φαξ των Windows είτε από την υπηρεσία Spooler, η οποία εκτελεί το κακόβουλο αρχείο DLL.

Το LuaDream αποτελείται από 34 στοιχεία, με 13 στοιχεία πυρήνα και 21 στοιχεία υποστήριξης, τα οποία χρησιμοποιούν τον bytecode LuaJIT και το API των Windows μέσω της βιβλιοθήκης ffi.

Τα στοιχεία πυρήνα χειρίζονται τις πρωταρχικές λειτουργίες του κακόβουλου λογισμικού, όπως η συλλογή δεδομένων συστήματος και χρήστη, ο έλεγχος των πρόσθετων και οι επικοινωνίες C2, ενώ τα στοιχεία υποστήριξης ασχολούνται με τις τεχνικές πτυχές, όπως η παροχή βιβλιοθηκών Lua και ορισμών του API των Windows.

Κατά την αρχικοποίηση, το LuaDream συνδέεται με έναν διακομιστή C2 (μέσω TCP, HTTPS, WebSocket ή QUIC) και στέλνει τις πληροφορίες που έχει συλλέξει, συμπεριλαμβανομένων των εκδόσεων κακόβουλου λογισμικού, διευθύνσεων IP/MAC, στοιχείων λειτουργικού συστήματος κ.λπ.

Λόγω του ότι οι επιτιθέμενοι αναπτύσσουν συγκεκριμένα plugins μέσω του LuaDream σε κάθε επίθεση, η SentinelLabs δεν διαθέτει εξαντλητικό κατάλογο όλων των διαθέσιμων plugins.

Ωστόσο, η έκθεση σημειώνει ένα module με την ονομασία “cmd”, το όνομα του οποίου υποδηλώνει ότι παρέχει στους επιτιθέμενους δυνατότητες εκτέλεσης εντολών στην παραβιασμένη συσκευή.

Ενώ έχουν εκτεθεί ορισμένα από τα προσαρμοσμένα κακόβουλα προγράμματα της Sandman και μέρος της υποδομής του διακομιστή C2, η προέλευση του δράστη της απειλής παραμένει αναπάντητη.

Η Sandman έρχεται να προστεθεί σε έναν αυξανόμενο κατάλογο προηγμένων επιτιθέμενων που στοχεύουν εταιρείες τηλεπικοινωνιών για κατασκοπεία, χρησιμοποιώντας μοναδικά μυστικά backdoors που είναι δύσκολο να εντοπιστούν και να σταματήσουν.

Οι πάροχοι τηλεπικοινωνιών αποτελούν συχνό στόχο για κατασκοπευτικές δραστηριότητες λόγω της ευαίσθητης φύσης των δεδομένων που διαχειρίζονται.

Νωρίτερα αυτή την εβδομάδα, αναφερθήκαμε σε ένα νέο σύμπλεγμα δραστηριοτήτων που εντοπίστηκε ως “ShroudedSnooper” και χρησιμοποίησε δύο νέα backdoors, το HTTPSnoop και το PipeSnoop, εναντίον τηλεπικοινωνιακών παρόχων στη Μέση Ανατολή.

Anastasis Vasileiadis

Ο Anastasis είναι ένας από τους κορυφαίους αρθρογράφους μας, ειδικευμένος σε θέματα κυβερνοασφάλειας.

Με την εμπειρία του, παρέχει στην κοινότητα πολύτιμες γνώσεις και συμβουλές.

https://beacons.ai/cyberkid1987

cyberkid@hacks.gr

Χάκερς τροποποιούν τις σελίδες 404 των ηλεκτρονικών καταστημάτων για να κλέψουν πιστωτικές κάρτες

Μια νέα μορφή επίθεσης κατά των καρτών της Magecart, καταλαμβάνει τις σελίδες σφαλμάτων 404 των ιστότοπων των διαδικτυακών πωλητών, κρύβοντας κακόβουλο κώδικα για να κλέψει τα στοιχεία των πιστωτικών καρτών των πελατών.

Η τεχνική αυτή είναι μία από τις τρεις παραλλαγές που παρατηρήθηκαν από ερευνητές της Akamai Security Intelligence Group, με τις άλλες δύο να κρύβουν τον κώδικα στο χαρακτηριστικό “onerror” της ετικέτας HTML και σε ένα δυαδικό αρχείο εικόνας για να φαίνεται ως το απόσπασμα κώδικα Meta Pixel.

Η Akamai αναφέρει ότι η επίθεση επικεντρώνεται σε ιστότοπους Magento και WooCommerce, με ορισμένα θύματα να συνδέονται με γνωστούς οργανισμούς στους τομείς των τροφίμων και του λιανικού εμπορίου.

Χειραγώγηση σελίδων 404

Όλοι οι ιστότοποι διαθέτουν σελίδες σφάλματος 404, οι οποίες εμφανίζονται στους επισκέπτες όταν έχουν πρόσβαση σε μια ιστοσελίδα που δεν υπάρχει, έχει μετακινηθεί ή έχει έναν νεκρό/σπασμένο σύνδεσμο.

Οι δράστες του Magecart αξιοποιούν την προεπιλεγμένη σελίδα “404 Not Found” για να κρύψουν και να φορτώσουν τον κακόβουλο κώδικα κλοπής καρτών, κάτι που δεν έχει παρατηρηθεί ξανά σε προηγούμενες εκστρατείες.

Ο φορτωτής skimmer είτε μεταμφιέζεται ως ένα απόσπασμα κώδικα Meta Pixel είτε κρύβεται μέσα σε τυχαία inline scripts που υπάρχουν ήδη στην παραβιασμένη ιστοσελίδα πληρωμής.

Ο φορτωτής ξεκινά ένα αίτημα λήψης σε μια σχετική διαδρομή με όνομα “icons”, αλλά καθώς αυτή η διαδρομή δεν υπάρχει στον ιστότοπο, το αίτημα καταλήγει σε σφάλμα “404 Not Found”.

Οι ερευνητές της Akamai υπέθεσαν αρχικά ότι το skimmer δεν ήταν πλέον ενεργό ή ότι η ομάδα Magecart είχε κάνει κάποιο λάθος στη διαμόρφωση. Ωστόσο, κατά την προσεκτικότερη εξέταση, διαπίστωσαν ότι ο φορτωτής περιείχε μια ταυτοποίηση κανονικής έκφρασης που αναζητούσε μια συγκεκριμένη συμβολοσειρά στην επιστρεφόμενη HTML της σελίδας 404.

Κατά τον εντοπισμό της συμβολοσειράς στη σελίδα, η Akamai βρήκε μια συνυφασμένη συμβολοσειρά κωδικοποιημένη με base64, κρυμμένη σε ένα σχόλιο. Η αποκωδικοποίηση αυτής της συμβολοσειράς αποκάλυψε το JavaScript skimmer, το οποίο κρύβεται σε όλες τις σελίδες 404.

Επειδή η αίτηση γίνεται σε μια διαδρομή πρώτου μέρους, τα περισσότερα εργαλεία ασφαλείας που παρακολουθούν ύποπτα αιτήματα δικτύου στη σελίδα πληρωμής θα το παραβλέψουν.

Κλέβοντας τα δεδομένα

Ο κώδικας skimmer εμφανίζει μια ψεύτικη φόρμα την οποία οι επισκέπτες του ιστότοπου αναμένεται να συμπληρώσουν με ευαίσθητα στοιχεία, όπως τον αριθμό της πιστωτικής τους κάρτας, την ημερομηνία λήξης και τον κωδικό ασφαλείας.

Μόλις τα δεδομένα αυτά εισαχθούν στην ψεύτικη φόρμα, το θύμα λαμβάνει ένα ψεύτικο σφάλμα “session timeout”.

Στο παρασκήνιο, όλες οι πληροφορίες κωδικοποιούνται με base64 και αποστέλλονται στον επιτιθέμενο μέσω μιας διεύθυνσης URL αίτησης εικόνας που φέρει τη συμβολοσειρά ως παράμετρο ερώτησης.

Αυτή η προσέγγιση βοηθά στην αποφυγή εντοπισμού από εργαλεία παρακολούθησης της κυκλοφορίας δικτύου, καθώς η αίτηση μοιάζει με ένα καλοήθες συμβάν ανάκτησης εικόνας. Ωστόσο, η αποκωδικοποίηση της συμβολοσειράς base64 αποκαλύπτει προσωπικές πληροφορίες και πληροφορίες πιστωτικής κάρτας.

Η περίπτωση της χειραγώγησης των σελίδων 404 αναδεικνύει τις εξελισσόμενες τακτικές και την ευελιξία των φορέων του Magecart, οι οποίοι συνεχώς δυσκολεύουν τους webmaster να εντοπίσουν τον κακόβουλο κώδικά τους σε παραβιασμένους ιστότοπους και να τον αποκαταστήσουν.