Hackers Exploram Falha no Magento para Roubar Dados de Pagamento de Sites de E-commerce
8 de Abril de 2024

Atacantes estão explorando uma falha crítica no Magento para injetar um backdoor persistente em sites de comércio eletrônico.

O ataque explora o CVE-2024-20720 (pontuação CVSS: 9.1), que foi descrito pela Adobe como um caso de "neutralização inadequada de elementos especiais" que poderia abrir caminho para a execução arbitrária de código.

A falha foi corrigida pela empresa como parte das atualizações de segurança lançadas em 13 de fevereiro de 2024.

A Sansec disse que descobriu um "modelo de layout inteligentemente elaborado no banco de dados" que está sendo usado para injetar automaticamente código malicioso para executar comandos arbitrários.

"Os atacantes combinam o analisador de layout do Magento com o pacote beberlei/assert (instalado por padrão) para executar comandos do sistema", disse a empresa.

"Como o bloco de layout está associado ao carrinho de compras, esse comando é executado sempre que <loja>/checkout/cart é solicitado."

O comando em questão é sed, que é usado para inserir um backdoor de execução de código que, por sua vez, é responsável por entregar um skimmer de pagamento Stripe para capturar e exfiltrar informações financeiras para outra loja Magento comprometida.

Este desenvolvimento ocorre enquanto o governo russo acusou seis pessoas de usar malware skimmer para roubar informações de cartões de crédito e pagamento de lojas de comércio eletrônico estrangeiras pelo menos desde o final de 2017.

Os suspeitos são Denis Priymachenko, Alexander Aseyev, Alexander Basov, Dmitry Kolpakov, Vladislav Patyuk e Anton Tolmachev.

A Recorded Future News relatou que as prisões foram feitas um ano atrás, citando documentos judiciais.

"Como resultado, os membros do grupo hacker se apossaram ilegalmente de informações sobre quase 160 mil cartões de pagamento de cidadãos estrangeiros, após o que eles os venderam através de sites na internet sombria", disse o Procuradoria-Geral da Federação Russa.

Publicidade

Já viu o Cyberpunk Guide?

Imagine voltar ao tempo dos e-zines e poder desfrutar de uma boa revista contendo as últimas novidades, mas na pegada hacking old school.
Acesse gratuitamente o Cyberpunk Guide e fique por dentro dos mais modernos dispositivos usados pelos hackers. Saiba mais...