Les chasseurs de menaces mettent en garde contre une campagne sophistiqu\u00e9e de l’\u00e9cumoire Web qui tire parti d’une interface de programmation d’application h\u00e9rit\u00e9e (API) de la bande de processeur de paiement pour valider les informations de paiement vol\u00e9es avant l’exfiltration.<\/p>\n
“Cette tactique garantit que seules les donn\u00e9es de carte valides sont envoy\u00e9es aux attaquants, ce qui rend l’op\u00e9ration plus efficace et potentiellement plus difficile \u00e0 d\u00e9tecter”, les chercheurs de JSCrambler Pedro Fortuna, David Alves et Pedro Marrucho dit<\/a> dans un rapport.<\/p>\n On estime que 49 marchands auraient \u00e9t\u00e9 affect\u00e9s par la campagne \u00e0 ce jour. Quinze des sites compromis ont pris des mesures pour supprimer les injections de script malveillant. L’activit\u00e9 est \u00e9valu\u00e9e comme \u00e9tant en cours depuis au moins le 20 ao\u00fbt 2024.<\/p>\n Les d\u00e9tails de la campagne \u00e9taient Premier signal\u00e9<\/a> Par la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Source Defence vers la fin de f\u00e9vrier 2025, d\u00e9taillant l’utilisation par l’\u00e9cumoire Web du “api.stripe[.]com \/ v1 \/ sources<\/a>“L’API, qui permet aux demandes d’accepter diverses m\u00e9thodes de paiement. Le point final a depuis \u00e9t\u00e9 obsol\u00e8te en faveur de l’API de la nouvelle API PaymentMethods.<\/p>\n Les cha\u00eenes d’attaque utilisent des domaines malveillants comme point de distribution initial pour l’\u00e9cumoire JavaScript con\u00e7u pour intercepter et masquer le formulaire de paiement l\u00e9gitime sur les pages de paiement de l’ordre, servir une r\u00e9plique de l’\u00e9cran de paiement de bande l\u00e9gitime, le valider \u00e0 l’aide de l’API des sources, puis la transmettre \u00e0 un serveur distant sous un format de base de base64.<\/p>\n JSCrambler a d\u00e9clar\u00e9 que les acteurs de la menace derri\u00e8re l’op\u00e9ration sont probablement en train de tirer parti des vuln\u00e9rabilit\u00e9s et des erreurs de configuration dans WooCommerce, WordPress et Prestashop pour implanter le script de sc\u00e8ne initial. Ce script de chargeur sert \u00e0 d\u00e9chiffrer et \u00e0 lancer une prochaine \u00e9tape cod\u00e9e de base64, qui, \u00e0 son tour, contient l’URL pointant vers l’\u00e9cumoire.<\/p>\n “Le script d’\u00e9cr\u00e9mage cache la bande l\u00e9gitime Iframe et la superpose avec une malveillance malveillante con\u00e7ue pour imiter son apparence”, ont d\u00e9clar\u00e9 les chercheurs. “Il clonage \u00e9galement le bouton” Placer Order “, cachant celui r\u00e9el.”<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/API-de-Stripe-herite-exploitee-pour-valider-les-cartes-de.jpg\")
<\/a><\/center><\/div>\n