Des acteurs malveillants ont \u00e9t\u00e9 observ\u00e9s en train d’utiliser des fichiers d’\u00e9change sur des sites Web compromis pour dissimuler un \u00e9cr\u00e9meur de carte de cr\u00e9dit persistant et r\u00e9colter des informations de paiement.<\/p>\n
La technique sournoise, observ\u00e9e par Sucuri sur la page de paiement d’un site de commerce \u00e9lectronique Magento, a permis au malware de survivre \u00e0 plusieurs tentatives de nettoyage, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n
Le skimmer est con\u00e7u pour capturer toutes les donn\u00e9es dans le formulaire de carte de cr\u00e9dit sur le site Web et exfiltrer les d\u00e9tails vers un domaine contr\u00f4l\u00e9 par l’attaquant nomm\u00e9 \u00ab\u00a0amazon-analytics\u00a0\u00bb.[.]com”, qui a \u00e9t\u00e9 enregistr\u00e9e en f\u00e9vrier 2024.<\/p>\n
\u00ab Notez l’utilisation du nom de marque ; cette tactique consistant \u00e0 exploiter des produits et services populaires dans les noms de domaine est souvent utilis\u00e9e par des acteurs malveillants pour tenter d’\u00e9chapper \u00e0 la d\u00e9tection \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Matt Morrow. dit<\/a>.<\/p>\n Il s’agit l\u00e0 d’une des nombreuses m\u00e9thodes d’\u00e9vasion de d\u00e9fense employ\u00e9es par l’acteur de la menace, qui inclut \u00e9galement l’utilisation de fichiers d’\u00e9change (\u00ab bootstrap.php-swapme \u00bb) pour charger le code malveillant tout en gardant le fichier d’origine (\u00ab bootstrap.php \u00bb) intact et exempt de logiciels malveillants.<\/p>\n \u00ab Lorsque les fichiers sont modifi\u00e9s directement via SSH, le serveur cr\u00e9e une version \u00ab swap \u00bb temporaire au cas o\u00f9 l’\u00e9diteur plante, ce qui emp\u00eache la perte de l’int\u00e9gralit\u00e9 du contenu \u00bb, a expliqu\u00e9 Morrow.<\/p>\n \u00ab Il est devenu \u00e9vident que les attaquants utilisaient un fichier d’\u00e9change pour maintenir le logiciel malveillant pr\u00e9sent sur le serveur et \u00e9chapper aux m\u00e9thodes normales de d\u00e9tection. \u00bb<\/p>\n Bien qu’il ne soit pas actuellement clair comment l’acc\u00e8s initial a \u00e9t\u00e9 obtenu dans ce cas, on soup\u00e7onne qu’il impliquait l’utilisation de SSH ou d’une autre session de terminal.<\/p>\n La divulgation survient alors que des comptes d’administrateur compromis sur des sites WordPress sont utilis\u00e9s pour installer un plugin malveillant qui se fait passer pour le plugin Wordfence l\u00e9gitime, mais qui est dot\u00e9 de capacit\u00e9s permettant de cr\u00e9er des utilisateurs administrateurs malveillants et de d\u00e9sactiver Wordfence tout en donnant une fausse impression que tout fonctionne comme pr\u00e9vu.<\/p>\n \u00ab Pour que le plugin malveillant soit plac\u00e9 sur le site Web en premier lieu, le site Web aurait d\u00e9j\u00e0 d\u00fb \u00eatre compromis \u2013 mais ce logiciel malveillant pourrait certainement servir de vecteur de r\u00e9infection \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Ben Martin. dit<\/a>.<\/p>\n \u00ab Le code malveillant ne fonctionne que sur les pages de l’interface d’administration de WordPress dont l’URL contient le mot \u00ab Wordfence \u00bb (pages de configuration du plugin Wordfence). \u00bb<\/p>\n Il est conseill\u00e9 aux propri\u00e9taires de sites de limiter l’utilisation des protocoles courants tels que FTP, sFTP et SSH aux adresses IP de confiance, ainsi que de s’assurer que les syst\u00e8mes de gestion de contenu et les plugins sont \u00e0 jour.<\/p>\n Il est \u00e9galement recommand\u00e9 aux utilisateurs d’activer l’authentification \u00e0 deux facteurs (2FA), d’utiliser un pare-feu pour bloquer les robots et d’appliquer des param\u00e8tres wp-config.php suppl\u00e9mentaires. impl\u00e9mentations de s\u00e9curit\u00e9<\/a> tels que DISALLOW_FILE_EDIT et DISALLOW_FILE_MODS.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Sites-Magento-cibles-par-un-skimmer-de-carte-de-credit.png\")
<\/a><\/center><\/section>\n