Se ha observado que los actores de amenazas utilizan archivos de intercambio en sitios web comprometidos para ocultar un skimmer de tarjetas de cr\u00e9dito persistente y recopilar informaci\u00f3n de pago.<\/p>\n
La t\u00e9cnica furtiva, observada por Sucuri en la p\u00e1gina de pago de un sitio de comercio electr\u00f3nico de Magento, permiti\u00f3 que el malware sobreviviera a m\u00faltiples intentos de limpieza, dijo la compa\u00f1\u00eda.<\/p>\n
El skimmer est\u00e1 dise\u00f1ado para capturar todos los datos del formulario de tarjeta de cr\u00e9dito en el sitio web y filtrar los detalles a un dominio controlado por el atacante llamado “amazon-analytic”.[.]com”, que se registr\u00f3 en febrero de 2024.<\/p>\n
“Tenga en cuenta el uso del nombre de marca; esta t\u00e1ctica de aprovechar productos y servicios populares en nombres de dominio es utilizada a menudo por actores maliciosos en un intento de evadir la detecci\u00f3n”, dijo el investigador de seguridad Matt Morrow. dicho<\/a>.<\/p>\n Este es solo uno de los muchos m\u00e9todos de evasi\u00f3n de defensa empleados por el actor de amenazas, que tambi\u00e9n incluye el uso de archivos de intercambio (“bootstrap.php-swapme”) para cargar el c\u00f3digo malicioso mientras se mantiene el archivo original (“bootstrap.php”) intacto y libre de malware.<\/p>\n “Cuando los archivos se editan directamente a trav\u00e9s de SSH, el servidor crear\u00e1 una versi\u00f3n ‘swap’ temporal en caso de que el editor falle, lo que evita que se pierda todo el contenido”, explic\u00f3 Morrow.<\/p>\n “Se hizo evidente que los atacantes estaban aprovechando un archivo de intercambio para mantener el malware presente en el servidor y evadir los m\u00e9todos normales de detecci\u00f3n”.<\/p>\n Aunque actualmente no est\u00e1 claro c\u00f3mo se obtuvo el acceso inicial en este caso, se sospecha que implic\u00f3 el uso de SSH o alguna otra sesi\u00f3n de terminal.<\/p>\n La revelaci\u00f3n llega cuando cuentas de usuario administrador comprometidas en sitios de WordPress se est\u00e1n utilizando para instalar un complemento malicioso que se hace pasar por el complemento leg\u00edtimo de Wordfence, pero viene con capacidades para crear usuarios administradores no autorizados y deshabilitar Wordfence mientras da una falsa impresi\u00f3n de que todo est\u00e1 funcionando como se esperaba.<\/p>\n “Para que el complemento malicioso se haya colocado en el sitio web en primer lugar, el sitio web ya deber\u00eda haber sido comprometido, pero este malware definitivamente podr\u00eda servir como un vector de reinfecci\u00f3n”, dijo el investigador de seguridad Ben Martin. dicho<\/a>.<\/p>\n “El c\u00f3digo malicioso solo funciona en p\u00e1ginas de la interfaz de administraci\u00f3n de WordPress cuya URL contiene la palabra ‘Wordfence’ (p\u00e1ginas de configuraci\u00f3n del complemento de Wordfence)”.<\/p>\n Se recomienda a los propietarios de sitios que restrinjan el uso de protocolos comunes como FTP, sFTP y SSH a direcciones IP confiables, as\u00ed como que se aseguren de que los sistemas de administraci\u00f3n de contenido y los complementos est\u00e9n actualizados.<\/p>\n Tambi\u00e9n se recomienda a los usuarios habilitar la autenticaci\u00f3n de dos factores (2FA), utilizar un firewall para bloquear bots y aplicar wp-config.php adicional. Implementaciones de seguridad<\/a> como DISALLOW_FILE_EDIT y DISALLOW_FILE_MODS.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Sitios-de-Magento-atacados-por-un-clonador-de-tarjetas-de.png\")
<\/a><\/center><\/section>\n