隐藏的艺术：滥用 404 页面的新 Magecart 活动

介绍

一项新的、复杂的、隐蔽的 Magecart 网页窃取活动已针对 Magento 和 WooCommerce 网站展开。该活动的部分受害者与食品和零售行业的大型组织有关。

根据我们发现的证据，该活动已经持续了几周，在某些情况下甚至更长。该活动采用了一种我们以前从未遇到过的高级隐藏技术，令我们措手不及。

新的活动

Magecart 攻击通常首先利用目标网站的漏洞，或感染这些网站正在使用的第三方服务。在这次活动中，我们检测到的所有受害网站都直接受到攻击，因为恶意代码片段被注入到他们的第一方资源之一中。

在某些情况下，恶意代码被插入到 HTML 页面中；在其他情况下，它隐藏在作为网站一部分加载的第一方脚本之一中。

与许多其他 Magecart 活动一样，此活动的攻击基础设施由三个主要部分组成：加载器、恶意攻击代码和数据泄露（图 1）。

1. 加载器——简短、晦涩的 JavaScript 代码片段，负责加载攻击的完整恶意代码
2. 恶意攻击代码——执行攻击的主要 JavaScript 代码；它检测敏感输入、读取数据、破坏结帐流程并注入虚假表单
3. 数据泄露——将窃取的数据传输到攻击者的命令和控制 (C2) 服务器的方法