Una reciente investigación de Sansec detalla el hallazgo de una novedosa técnica para inyectar skimmers en sitios web de pago, lo que permitiría el robo de millones de dólares. Según los expertos, el malware utilizado consta de dos elementos: una carga útil y un decodificador para leer y ejecutar la carga útil.
Aunque en campañas de ataque anteriores los skimmers agregaban la carga útil empleando archivos de apariencia legítima (como imágenes en formato JPG), esta parecer ser la más reciente tendencia de los operadores de esta clase de ataques. Gracias a esta técnica, los mecanismos de seguridad se ven imposibilitados para detectar malware a través de una sintaxis válida.
En el ataque, la carga útil maliciosa asume la forma de un elemento html <svg>, utilizando el elemento <path> como contenedor para la carga útil. Los expertos mencionan que la carga útil en sí se oculta utilizando una sintaxis que se parece mucho al uso correcto del elemento <svg>.
Además, para que los usuarios no tengan la menor sospecha de que han recibido un archivo malicioso, los actores de amenazas incluyen el nombre de importantes compañías de redes sociales, ganándose así la confianza de las víctimas. Reportes adicionales revelan que el grupo de hacking ha estado usando los nombres de al menos seis compañías:
- google_full
- facebook_full
- twitter_full
- instagram_full
- youtube_full
- pinterest_full
Ocultar archivos maliciosos
La segunda parte del malware es un decodificador que interpreta y ejecuta la carga útil oculta con esteganografía. A continuación se muestra un ejemplo del archivo recibido por las víctimas:
Vale la pena señalar que el decodificador no tiene que inyectarse en la misma ubicación que la carga útil. Esto se suma a su ocultación, ya que al encontrar solo una de las partes, es posible que no se deduzca el verdadero propósito de un svg con un formato ligeramente extraño. Un actor de amenazas puede ocultar cualquier carga útil con esta técnica.
Acorde a Sansec, las muestras recolectadas indican que el skimming es el verdadero propósito de estas inyecciones de malware. En junio pasado, Sansec detectó un malware similar utilizando la misma técnica. Este malware no era tan sofisticado y solo se detectó en 9 sitios en un solo día. De estos 9 sitios infectados, solo 1 tenía malware funcional, aunque no se descarta que el ataque sea exitoso en incidentes aún no identificados.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
