Hackers Infect 953 Online Stores With Scanner-Evading JavaScript, Mostly on Magento

Una cam­pa­ña en mar­cha ha afec­ta­do a casi un mi­llar de tien­das en línea, em­plean­do prin­ci­pal­men­te la pla­ta­for­ma Ma­gen­to. La ac­ti­vi­dad con­sis­te en in­tro­du­cir có­di­go para que, al in­gre­sar a un sitio com­pro­me­ti­do, el na­ve­ga­dor del usua­rio con­sul­te al ser­vi­dor de los ata­can­tes para re­ci­bir ins­truc­cio­nes. Este ser­vi­dor cuen­ta con la ca­pa­ci­dad de di­fe­ren­ciar entre vi­si­tan­tes le­gí­ti­mos y he­rra­mien­tas de aná­li­sis o se­gu­ri­dad, de modo que estas úl­ti­mas no re­ci­ben in­for­ma­ción.

A lo largo del tiem­po se han iden­ti­fi­ca­do cinco do­mi­nios dis­tin­tos aso­cia­dos a esta ope­ra­ción, sien­do el más re­cien­te de­tec­ta­do tras su re­gis­tro. Este úl­ti­mo do­mi­nio se en­cuen­tra pro­te­gi­do y res­pon­de ex­clu­si­va­men­te a pe­ti­cio­nes de usua­rios reales, ubi­cán­do­se el com­po­nen­te de carga den­tro de una tabla de la base de datos des­ti­na­da a con­te­ni­dos es­tá­ti­cos. De­pen­dien­do de la ver­sión em­plea­da, el script ma­li­cio­so puede al­ma­ce­nar su carga en el na­ve­ga­dor para eje­cu­tar­la en vi­si­tas pos­te­rio­res o in­cor­po­rar va­li­da­cio­nes de hue­llas di­gi­ta­les para des­car­tar bots, aun­que no se ha de­ter­mi­na­do cuál es la carga final.

Para lo­grar el ac­ce­so ini­cial, los ata­can­tes se han va­li­do de vul­ne­ra­bi­li­da­des es­pe­cí­fi­cas en Ma­gen­to que per­mi­ten in­ser­tar webshells o rea­li­zar car­gas de ar­chi­vos, así como de la crea­ción de cuen­tas de ad­mi­nis­tra­dor ile­gí­ti­mas. Las re­co­men­da­cio­nes para los ad­mi­nis­tra­do­res de los si­tios in­clu­yen la re­vi­sión en busca de cuen­tas sos­pe­cho­sas y la ve­ri­fi­ca­ción de blo­ques de con­te­ni­do ines­pe­ra­dos, ade­más de man­te­ner los sis­te­mas ac­tua­li­za­dos y uti­li­zar con­tra­se­ñas ro­bus­tas.

Pa­ra­le­la­men­te, se han re­por­ta­do in­ten­tos de ex­plo­ta­ción ge­ne­ra­li­za­da de vul­ne­ra­bi­li­da­des crí­ti­cas en PHP tras su di­vul­ga­ción re­cien­te. In­ves­ti­ga­do­res han re­gis­tra­do casos de eje­cu­ción exi­to­sa de co­man­dos de con­so­la en ser­vi­do­res se­ñue­lo me­dian­te he­rra­mien­tas para des­car­gar car­gas adi­cio­na­les desde un ser­vi­dor re­mo­to, sin que hasta el mo­men­to se hayan de­tec­ta­do ele­men­tos des­car­ga­dos de se­gun­da etapa.