Kể từ tháng Hai, một điểm nổi bật ma thuật Nhóm tội phạm mạng đã tiêm chương trình skimmer thẻ thanh toán dựa trên Java tương tự không phải một, không phải hai mà là ba lần vào trang web quốc tế bị xâm nhập của nhà sản xuất máy xay sinh tố NutriBullet, các nhà nghiên cứu từ Rủi ro đã báo cáo.
Theo nhà nghiên cứu mối đe dọa RiskIQ Yonathan Klijnsma, trong một công ty, mỗi khi một skimmer bị xóa khỏi nutribullet.com, các tác nhân tội phạm, được gọi là Magecart Group 8, sẽ đưa lại một skimmer thay thế vào môi trường web bị vi phạm. blog đăng bài vào thứ Tư.
NutriBullet và công ty mẹ Capital Brands hôm thứ Tư nói với SC Media rằng họ đã khắc phục sự cố xâm phạm trang web vào ngày 17 tháng XNUMX, nhưng báo cáo của RiskIQ không ủng hộ khẳng định này. Thay vào đó, Klijnsma tuyên bố rằng NutriBullet đã không phản hồi trước nhiều nỗ lực tiết lộ thông tin riêng tư của RiskIQ trong khoảng thời gian khoảng một tháng và chính RiskIQ đã liên tục thực hiện hành động để xóa miền lọc của kẻ tấn công, với sự trợ giúp của Lạm dụng dự án chống phần mềm độc hại. .ch và tổ chức phi lợi nhuận Shadowserver Foundation.
Klijnsma cho biết bài đăng trên blog RiskIQ: “Cho đến khi NutriBullet thừa nhận khả năng tiếp cận của chúng tôi và thực hiện việc dọn dẹp, chúng tôi khuyên bạn không nên thực hiện bất kỳ giao dịch mua nào trên trang web vì dữ liệu khách hàng đang bị đe dọa”. Đại diện PR của RiskIQ nói với SC Media rằng lời kể của công ty về những gì đã xảy ra vẫn đúng.
Tuy nhiên, điều đó không phù hợp với quan điểm của NutriBullet: “Nhóm CNTT của chúng tôi đã ngay lập tức hành động vào sáng nay (3/17/20) khi lần đầu tiên biết được từ RiskIQ về một vi phạm có thể xảy ra,” tuyên bố của công ty cho biết. “Đội ngũ CNTT của công ty đã kịp thời xác định mã độc và loại bỏ. Chúng tôi đã tiến hành các cuộc điều tra pháp y để xác định xem mã đã bị xâm phạm như thế nào, đồng thời đã cập nhật các chính sách bảo mật và thông tin xác thực của mình để bao gồm Xác thực đa yếu tố (MFA) như một biện pháp phòng ngừa bổ sung. Nhóm của chúng tôi sẽ hợp tác chặt chẽ với các chuyên gia an ninh mạng bên ngoài để ngăn chặn các cuộc xâm nhập tiếp theo.”
RiskIQ cho biết skimmer đầu tiên được phát hiện vào ngày 20 tháng 1 và bị loại bỏ không muộn hơn ngày 5 tháng 10; cái thứ hai được bổ sung chỉ bốn ngày sau đó vào ngày XNUMX tháng XNUMX và cái thứ ba được lắp đặt vào ngày XNUMX tháng XNUMX.
Trong trường hợp đầu tiên, kẻ đe dọa được cho là đã thêm một skimmer – một công cụ mà nó đã sử dụng từ năm 2018 – ở cuối thư viện jQuery của trang web NutriBullet và đã được nhóm này sử dụng trước đó trên hơn 200 miền nạn nhân kể từ năm 2018.
Báo cáo tiếp tục, kẻ thù cũng sử dụng cùng một skimmer trong đợt tấn công thứ hai, nhưng lần này nhắm mục tiêu vào một mô-đun con cho jQuery để tiêm nhiễm và sử dụng một miền lọc khác.
Lần thứ ba skimmer được giới thiệu, nó được đưa vào một vị trí khác, lần này là ở phía trên cùng của tập lệnh. Nhưng họ đã sử dụng một miền lọc đã bị xóa. Vào thời điểm đó, “Chúng tôi tin rằng những kẻ tấn công đã thấy lưu lượng truy cập giảm và cho rằng NutriBullet đã dọn sạch trang web của mình. Sau đó, họ chuyển skimmer đi nơi khác mà không nhận ra miền này không còn tồn tại”, bài đăng trên blog nêu rõ.
Javvad Malik, người ủng hộ nhận thức về bảo mật tại KnowBe4 cho biết: “Các cuộc tấn công của Magagecart tiếp tục xâm nhập vào các cổng thanh toán trên các trang web và không có dấu hiệu chậm lại”. Đó là lý do tại sao điều quan trọng đối với các tổ chức là xây dựng văn hóa bảo mật để mỗi nhóm không chỉ đảm nhận trách nhiệm đưa bảo mật vào thiết kế và triển khai mà còn [cũng] là yếu tố đảm bảo bảo mật liên tục để có thể nhanh chóng phát hiện mọi thay đổi trái phép và điều tra.”
Ameet Naik, nhà truyền giáo bảo mật tại PerimeterX cho biết thêm: “Các cuộc tấn công của Magagecart đang đạt đến đỉnh điểm với nhiều kẻ tấn công sử dụng nhiều kỹ thuật khác nhau để xâm phạm các trang web và đánh cắp số thẻ tín dụng”. “Cuộc tấn công này diễn ra dai dẳng, có chỗ đứng vững chắc trên trang web. Cuộc tấn công tiếp tục truyền dữ liệu bị đánh cắp ngay cả sau nhiều nỗ lực gỡ bỏ của bên thứ ba. Các doanh nghiệp cần phản ứng nhanh hơn trước các cuộc tấn công để tránh tác động tiêu cực đến thương hiệu và đảm bảo bảo vệ dữ liệu khách hàng. Vì hầu hết người tiêu dùng hiện đang mua sắm tại nhà nên việc duy trì trải nghiệm mua sắm trực tuyến an toàn là điều bắt buộc đối với các doanh nghiệp đang tìm kiếm sự liên tục.”
