近 2000 家 Magento 1 店遭到黑客攻击
2020年9月12日至13日，全球近2000家Magento 1店遭到黑客攻击，这是迄今为止规模更大的一次有记录的活动。这是一个典型的Magecart攻击：注入的恶意代码将截获不受怀疑的商店客户的付款信息。被检查的商店发现运行Magento版本1，该版本于去年6月宣布停止使用。
Sansec早期漏洞检测系统监控全球电子商务领域的安全威胁，检测到1904个不同的Magento商店，在结账页面上有一个独特的键盘记录（skimmer）。9月11日，有10家商店被感染，12日是1058家，13日是603家，14日是233家。
另请阅读：Adobe与Sansec合作，以提高Magento平台的安全性。
这项自动化活动是Sansec自2015年开始监测以来发现的更大规模的活动。此前的纪录是去年7月一天内有962家店铺被黑客入侵。本周末事件的规模之大说明了 *** 浏览的复杂性和盈利能力的提高。犯罪分子已经越来越自动化他们的黑客操作，以运行 *** 掠取计划在尽可能多的商店。
据Sansec估计，上周末，数万名顾客的私人信息通过其中一家受损商店被盗。
Magento exploit $ 5000
在此之前，许多受害商店没有发生过类似的安全事故。这表明攻击者使用了一种新的攻击 *** 来获得这些存储的服务器（写）访问权限。虽然我们仍在调查确切的原因，但这次活动可能与最近几周前上市的Magento 10天（漏洞利用）有关。
用户z3r0day在一个黑客论坛上宣布以5000美元的价格出售Magento 1“远程代码执行”攻击 *** ，包括指令视频。据称，不需要事先的Magento管理员帐户。z3r0day强调，由于Magento 1已经过时，Adobe不会提供官方补丁来修复这个漏洞，这使得这个漏洞对使用传统平台的店主造成了额外的伤害。
为了使交易更加顺利，z3r0day承诺只出售10份危险漏洞利用程序。
根据Sansec的实时数据，截至今天，仍有大约9.5 万家Magento 1商店仍在营业。
官方PCI要求在服务器上使用恶意软件和漏洞扫描程序，如Sansec的eComscan。Sansec还建议订阅替代的Magento 1补丁程序支持，例如Mage One提供的支持。
更新：攻击 ***
截至周一，Sansec正在对两台受感染的服务器进行调查。攻击者使用IP 92.242.62.210（美国）和91.121.94.121（OVH，FR）与Magento管理面板进行交互，并使用“Magento Connect”功能下载和安装各种文件，包括名为的恶意软件mysql.php。将恶意代码添加到后，该文件已自动删除prototype.js。
2020-09-14T09:57:06 92.242.62.210 GET /downloader/ HTTP/1.1
2020-09-14T09:57:09 92.242.62.210 POST /downloader/ HTTP/1.1
2020-09-14T09:57:09 92.242.62.210 GET /index.php/admin/?SID=XXXX HTTP/1.1
2020-09-14T09:57:10 92.242.62.210 GET /index.php/admin/dashboard/index/key/<hash>/ HTTP/1.1
2020-09-14T09:57:13 92.242.62.210 GET /index.php/admin/system_config/index/key/<hash>/ HTTP/1.1
2020-09-14T09:57:15 92.242.62.210 GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1
2020-09-14T09:57:19 92.242.62.210 POST /index.php/admin/system_config/save/section/dev/key/<hash>/ HTTP/1.1
2020-09-14T09:57:20 92.242.62.210 GET /index.php/admin/system_config/edit/section/dev/key/<hash>/ HTTP/1.1
2020-09-14T09:57:22 92.242.62.210 GET /index.php/admin/import/index/key/<hash>/ HTTP/1.1
2020-09-14T09:57:25 92.242.62.210 POST /index.php/admin/import/validate/key/<hash>/ HTTP/1.1
2020-09-14T09:57:25 92.242.62.210 GET /downloader/ HTTP/1.1
2020-09-14T09:57:28 92.242.62.210 POST /downloader/index.php?A=connectInstallPackageUpload&maintenance=1&archive_type=0&backup_name= HTTP/1.1
2020-09-14T09:57:29 92.242.62.210 GET /downloader/index.php?A=cleanCache HTTP/1.1
2020-09-14T09:57:31 92.242.62.210 GET /mysql.php HTTP/1.1
WEB服务器的日志显示，周末有很多人试图安装文件，可能是为了安装改进版的skimmer。
撇渣器分析：mcdnn.net
对于受影响的Magento 1商店，已将加载的撇渣器添加到文件prototype.js中，这是标准Magento安装的一部分。
该//mcdnn.net/122002/assets/js/widget.js服务根据其包含在哪个页面上来提供动态内容。仅当从结帐页面中引用时，它才会提供恶意的按键记录日志代码：
实际付款将被泄露到莫斯科托管的站点https://imags.pw/502.jsp，该站点与mcdnn.net域在同一 *** 上。
稿件与封面来源：Sansec，译者：芋泥啵啵奶茶。
本文由 HackerNews.cc 翻译整理，
转载请注明“转自 HackerNews.cc ” 并附上原文链接。
“近 2000 家 Magento 1 店遭到黑客攻击” 的相关文章
荷兰白帽黑客轻松攻破电网控制系统 捧走其第四座 Pwn2Own 奖杯
在本周于佛罗里达州迈阿密举办的 Pwn2Own 2022 大会上，两名来自荷兰的白帽黑客获得了第四次胜利。作为这场年度黑客大会的大赢家，Dean Keuper 和 Thijs Alkemade 获得了 90000 美元奖励、且捧走了冠军奖杯。此前这对搭档曾于 2012、2018 和 2021 年创下...
Facebook 因算法漏洞连推糟糕内容 一直持续半年
Facebook动态消息（News Feed）因为存在重大排序错误，过去6个月一直推送“糟糕”内容。由于排序算法存在漏洞，动态消息抬高了虚假、暴力信息的权重。去年10月，工程师发现推送有问题，当时动态消息中的虚假信息明显增多。 虚假信息本来是经过事实核查员审查过的，应该早早得到抑制，但这些信息却四处...
乌克兰安全局关闭了五个在公民中传播恐慌和错误信息的机器人农场
据Techspot报道，乌克兰国家安全局（SBU）宣布，自俄罗斯入侵该国以来，该机构已发现并关闭了5个运营10万个社交媒体账户的机器人农场，这些账户传播与入侵有关的假新闻。 SBU在一份新闻稿中写道，这些农场位于包括哈尔科夫、切尔卡瑟、捷尔诺皮尔和外喀尔巴阡在内的地区，被用于 “大规模信息破坏”，...
DLL 反制：安全研究人员提出阻止勒索软件加密文件的新策略
尽管恶意软件开发者擅长利用各种软硬件漏洞来达成目的，但他们散播的成品也并非毫无破绽。比如近日，安全研究人员 John Page（又名 hyp3rlinx）就介绍了一招反制勒索软件的新套路。由个人网站和 Twitter 账号上发布的内容可知，John Page 专精于找到恶意软件本身的漏洞，并于近日分...
未打补丁的 Exchange 服务器遭 Hive 勒索攻击 逾期就公开数据
虽然在 2021 年微软就已针对 Hive 勒索软件发布 Exchange 服务器的安全补丁，并敦促企业及时进行部署，但是依然有一些组织并没有及时跟进。消息称这些尚未跟进的组织近日再次遭受了 Hive 勒索软件的攻击，被黑客获得了系统权限。 在攻击获得系统权限之后，该勒索软件就会通过 PowerSh...
流行软件包管理器中发现多重安全漏洞
Hackernews 编译，转载请注明出处： 在流行的包管理器中已经揭露多个安全漏洞，如果被潜在黑客利用，可能被滥用来运行任意代码和访问敏感信息，包括受感染设备的源代码和访问令牌。 然而，值得注意的是，这些漏洞要求目标开发人员同时处理一个受影响的软件包管理器和一个恶意软件包。 So...
评论列表
发表评论
