Caesar Cipher Skimmer

Varios sistemas de gestión de contenidos (CMS) ampliamente utilizados, como Magento, WordPress y OpenCart, se han topado recientemente con un novedoso skimmer web de tarjetas de crédito conocido como Caesar Cipher Skimmer. Este malware se infiltra en sitios web de comercio electrónico con la intención de recopilar de forma encubierta detalles financieros y de pago.

La campaña de ataque se dirigió específicamente al complemento WooCommerce para WordPress, donde manipuló el archivo PHP 'form-checkout.php' para extraer información de la tarjeta de crédito. Los investigadores que supervisan la situación han notado que el código inyectado ha sido alterado para reducir su visibilidad minimizando la ofuscación del script.

El Caesar Cipher Skimmer puede implementarse en sitios previamente comprometidos

Específicamente, utiliza el mismo mecanismo de sustitución empleado en el cifrado César para codificar el fragmento de código amenazante en una cadena confusa y ocultar el dominio externo que se utiliza para alojar la carga útil. Se presume que todos los sitios web han sido previamente comprometidos a través de otros medios para montar un script PHP que lleva los nombres 'style.css' y 'css.php' en un aparente esfuerzo por imitar una hoja de estilo HTML y evadir la detección.

Estos scripts, a su vez, están diseñados para cargar otro código JavaScript ofuscado que crea un WebSocket y se conecta a otro servidor para buscar el skimmer real.

El script envía la URL de las páginas web actuales, lo que permite a los atacantes enviar respuestas personalizadas para cada sitio infectado. Algunas versiones del script de segunda capa incluso verifican si lo carga un usuario de WordPress que ha iniciado sesión y modifican la respuesta para él.

Los operadores del Caesar Cipher Skimmer probablemente sean rusos

Algunas versiones del guión contienen comentarios escritos en ruso, lo que indica que los actores de amenazas detrás de la operación pueden ser de habla rusa.

El ataque no se basa únicamente en modificar el archivo 'form-checkout.php' en WooCommerce; Los atacantes también han explotado el complemento legítimo WPCode para inyectar el skimmer en las bases de datos del sitio web.

En los sitios web basados en Magento, las inyecciones de JavaScript se encuentran en tablas de bases de datos como core_config_data. El método utilizado para los sitios OpenCart sigue siendo desconocido en este momento. Debido a su adopción generalizada como plataforma de sitios web, WordPress y su extenso ecosistema de complementos se han convertido en objetivos lucrativos para actores maliciosos, brindándoles amplias oportunidades de ataques.

Es necesario que los propietarios de sitios web actualicen periódicamente su software y complementos CMS, mantengan prácticas de contraseñas sólidas y realicen auditorías periódicas para detectar cuentas de administrador sospechosas.

Las víctimas de un skimmer podrían sufrir graves consecuencias

Los skimmers web de tarjetas de crédito, también conocidos como ataques Magecart o skimming digital, pueden tener graves consecuencias tanto para los consumidores como para las empresas:

• Pérdidas financieras : los skimmers recopilan datos de tarjetas de crédito ingresados en sitios web comprometidos. Esta información luego se utiliza para transacciones fraudulentas, lo que genera pérdidas financieras directas para las personas afectadas.
• Robo de identidad : la información recopilada de la tarjeta de crédito se puede utilizar con fines de robo de identidad, incluida la apertura de nuevas cuentas o la realización de compras no autorizadas en nombre de la víctima.
• Daño a la reputación empresarial : las empresas que sufren un ataque de skimming pueden sufrir daños en su reputación y pérdida de la confianza de los clientes. Los consumidores pueden evitar comprar en sitios web que hayan experimentado violaciones de seguridad.
• Sanciones regulatorias : Dependiendo de la jurisdicción, las empresas pueden recibir multas y sanciones por no proteger adecuadamente los datos de los clientes. La sumisión a normas de protección de datos como GDPR o CCPA también puede verse comprometida.
• Interrupción operativa : mitigar los efectos de un ataque de skimming requiere importantes recursos y tiempo. Es posible que las empresas deban cerrar temporalmente sus sitios web o servicios para investigar y remediar la infracción, lo que provocará interrupciones operativas y un impacto financiero.
• Impacto a largo plazo en los ingresos : incluso después de mitigar un ataque de skimming, las empresas pueden experimentar una reducción del tráfico de clientes y de las ventas como resultado de la infracción. Restaurar la confianza del cliente y reconstruir una reputación positiva puede ser un desafío a largo plazo.

En resumen, los estafadores web de tarjetas de crédito plantean riesgos importantes tanto para los consumidores como para las empresas, lo que afecta la estabilidad financiera, la confiabilidad y el cumplimiento normativo. Las medidas preventivas, como auditorías de seguridad periódicas, prácticas sólidas de cifrado y actualizaciones rápidas de software, son esenciales para mitigar estos riesgos y proteger contra actividades inseguras.