Webmasters, ¡cuidado! Los skimmers de WordPress explotan las tablas de bases de datos para robar información de pago

Los expertos en ciberseguridad han descubierto una campaña de clonación de datos de tarjetas de crédito sofisticada y sigilosa dirigida a sitios web de WordPress. Al incorporar JavaScript malicioso en las tablas de bases de datos, estos skimmers evitan los métodos de detección tradicionales para robar información confidencial de pago. Esta alarmante amenaza pone de relieve las tácticas en evolución que utilizan los cibercriminales para explotar las plataformas de comercio electrónico.

Cómo funciona el malware de skimming

Los webmasters siempre deben estar atentos a los JavaScript dañinos, ya que esta explotación de skimmers puede pasar desapercibida. Los skimmers apuntan a los sitios web de comercio electrónico de WordPress inyectando JavaScript malicioso en la tabla wp_options bajo la opción "widget_block". Este método permite que el malware se oculte a simple vista, evitando ser detectado por la mayoría de las herramientas de seguridad. Una vez incrustado, el malware aprovecha la interfaz administrativa de WordPress para inyectar el JavaScript dañino en los widgets de bloques HTML.

Activación en las páginas de pago

El script de skimming se activa únicamente en las páginas de pago, donde:

1. Secuestra campos de pago existentes : modifica campos legítimos para interceptar datos de pago.
2. Inyecta formularios de tarjetas de crédito falsos : crea dinámicamente un formulario de pago que imita procesadores reales como Stripe.

Estos formularios falsos capturan datos confidenciales como números de tarjetas de crédito, CVV e información de facturación. Por otra parte, el script puede monitorear formularios de pago legítimos y robar datos ingresados en tiempo real.

Ofuscación y exfiltración

Los datos robados están codificados y encriptados para resistir su detección:

• Codificación Base64 : convierte los datos en un formato de apariencia inofensiva.
• Cifrado AES-CBC : agrega una capa de seguridad para evadir el análisis.
• Transmisión de datos : envía la información codificada a servidores controlados por el atacante, como valhafather[.]xyz o fqbe23[.]xyz .

Una campaña de engaño más amplia

Este ataque es similar a otros ataques similares, incluido uno en el que se utilizó malware JavaScript para crear dinámicamente formularios de pago falsos o extraer datos de campos de pago legítimos. En ese caso, los datos se cifraron utilizando métodos JSON y XOR antes de enviarlos a un servidor remoto.

Vectores de ataque adicionales

La sofisticación de estas campañas se extiende más allá de WordPress:

• Correos electrónicos de phishing de PayPal : los actores de amenazas envían correos electrónicos desde direcciones legítimas de PayPal para engañar a los usuarios para que inicien sesión y vinculen sus cuentas a listas de distribución controladas por los atacantes.
• Exploits de billeteras de criptomonedas : los ciberdelincuentes explotan las funciones de simulación de transacciones de billeteras Web3 para configurar aplicaciones descentralizadas (DApps) falsas y vaciar las billeteras durante la fase de ejecución.

Protegiendo su sitio web y a sus clientes

Para proteger los sitios de comercio electrónico de WordPress de estas amenazas:

1. Audite periódicamente las tablas de la base de datos : concéntrese en la tabla wp_options y las entradas desconocidas.
2. Actualizar y parchear WordPress : asegúrese de que todos los complementos y temas estén actualizados para mitigar las vulnerabilidades.
3. Implemente firewalls de aplicaciones web (WAF) : bloquee scripts maliciosos antes de que lleguen a su base de datos.
4. Supervisar la actividad anómala en el panel de administración : preste atención a los cambios en los widgets y bloques HTML.
5. Educar a los usuarios : advertir a los clientes sobre los formularios de pago falsos y los riesgos de los correos electrónicos de phishing.

La evolución de los escáneres de tarjetas de crédito que atacan a los sitios web de WordPress pone de relieve la importancia de contar con prácticas sólidas de ciberseguridad. Al incorporar código malicioso directamente en las tablas de bases de datos, estas campañas son más difíciles de detectar y más eficaces a la hora de robar datos confidenciales. Los propietarios de sitios web deben permanecer atentos y proactivos a la hora de proteger sus plataformas para proteger tanto a su negocio como a sus clientes de estas amenazas cada vez más sofisticadas.