Atacantes estão explorando uma falha crítica no Magento para injetar um backdoor persistente em sites de comércio eletrônico.
O ataque explora o
CVE-2024-20720
(pontuação CVSS: 9.1), que foi descrito pela Adobe como um caso de "neutralização inadequada de elementos especiais" que poderia abrir caminho para a execução arbitrária de código.
A falha foi corrigida pela empresa como parte das atualizações de segurança lançadas em 13 de fevereiro de 2024.
A Sansec disse que descobriu um "modelo de layout inteligentemente elaborado no banco de dados" que está sendo usado para injetar automaticamente código malicioso para executar comandos arbitrários.
"Os atacantes combinam o analisador de layout do Magento com o pacote beberlei/assert (instalado por padrão) para executar comandos do sistema", disse a empresa.
"Como o bloco de layout está associado ao carrinho de compras, esse comando é executado sempre que <loja>/checkout/cart é solicitado."
O comando em questão é sed, que é usado para inserir um backdoor de execução de código que, por sua vez, é responsável por entregar um skimmer de pagamento Stripe para capturar e exfiltrar informações financeiras para outra loja Magento comprometida.
Este desenvolvimento ocorre enquanto o governo russo acusou seis pessoas de usar malware skimmer para roubar informações de cartões de crédito e pagamento de lojas de comércio eletrônico estrangeiras pelo menos desde o final de 2017.
Os suspeitos são Denis Priymachenko, Alexander Aseyev, Alexander Basov, Dmitry Kolpakov, Vladislav Patyuk e Anton Tolmachev.
A Recorded Future News relatou que as prisões foram feitas um ano atrás, citando documentos judiciais.
"Como resultado, os membros do grupo hacker se apossaram ilegalmente de informações sobre quase 160 mil cartões de pagamento de cidadãos estrangeiros, após o que eles os venderam através de sites na internet sombria", disse o Procuradoria-Geral da Federação Russa.
Publicidade
A primeira certificação prática brasileira de wireless hacking veio para mudar o ensino na técnica no país, apresentando labs práticos e uma certificação hands-on.
Todas as técnicas de pentest wi-fi reunidos em um curso didático e definitivo.
Saiba mais...