🤹🏼 💙 👩🏿‍🚒 चार जावास्क्रिप्ट स्नाइपर जो आपको ऑनलाइन स्टोर में फंसाते हैं 📞 🧢 🤞🏼

हम में से लगभग हर एक ऑनलाइन स्टोर की सेवाओं का उपयोग करता है, जिसका अर्थ है कि जितनी जल्दी या बाद में वह जावास्क्रिप्ट स्निफर्स का शिकार होने का जोखिम उठाता है - एक विशेष कोड जिसे साइबर अपराधी बैंक कार्ड की जानकारी, पते, लॉगिन और उपयोगकर्ता पासवर्ड चोरी करने के लिए साइट पर इंजेक्ट करते हैं।

वेबसाइट और ब्रिटिश एयरवेज एयरलाइन के मोबाइल एप्लिकेशन के लगभग 400,000 उपयोगकर्ता, साथ ही साथ स्पोर्ट्स दिग्गज कंपनी FILA और अमेरिकी टिकट वितरक टिकटमास्टर की ब्रिटिश वेबसाइट पर आगंतुक पहले से ही स्निफर्स से प्रभावित हैं।

थ्रेट इंटेलिजेंस ग्रुप-आईबी के विश्लेषक विक्टर ओकोरोकोव इस बारे में बात करते हैं कि कैसे स्निफ़र्स साइट कोड में एम्बेडेड होते हैं और बिलिंग जानकारी चोरी करते हैं, साथ ही साथ वे किस सीआरएम पर हमला करते हैं।

फैंटम मेंस

यह पता चला कि लंबे समय तक जेएस-स्निफर्स एंटीवायरस विश्लेषकों की दृष्टि से बाहर रहे, और बैंकों और भुगतान प्रणालियों ने उनमें गंभीर खतरा नहीं देखा। और पूरी तरह से व्यर्थ। समूह-आईबी विशेषज्ञों ने 2,440 संक्रमित ऑनलाइन स्टोरों का विश्लेषण किया जिनके आगंतुक - लगभग 1.5 मिलियन लोग एक दिन में - समझौता होने का खतरा था। पीड़ितों में न केवल उपयोगकर्ता हैं, बल्कि ऑनलाइन स्टोर, भुगतान प्रणाली और बैंक भी हैं जो समझौता कार्ड जारी करते हैं।

ग्रुप-आईबी की रिपोर्ट में स्निफर्स, उनके बुनियादी ढांचे और विमुद्रीकरण के तरीकों के लिए डार्कनेट मार्केट का पहला अध्ययन था, जिससे उनके रचनाकारों को लाखों डॉलर मिले। हमने सूँघने वालों के 38 परिवारों की पहचान की, जिनमें से केवल 12 पहले शोधकर्ताओं के लिए जाने जाते थे।

आइए अध्ययन के दौरान अध्ययन किए गए स्निफर्स के चार परिवारों पर विस्तार से ध्यान दें।

रिएक्टगेट परिवार

रिएक्टगेट परिवार के स्निफ़र्स का उपयोग ऑनलाइन स्टोर साइटों पर बैंक कार्ड डेटा चोरी करने के लिए किया जाता है। एक स्निफर साइट पर उपयोग किए जाने वाले विभिन्न भुगतान प्रणालियों की एक बड़ी संख्या के साथ काम कर सकता है: एक पैरामीटर मान एक भुगतान प्रणाली से मेल खाता है, और व्यक्तिगत रूप से पहचाने गए स्निफर संस्करणों का उपयोग क्रेडेंशियल्स चोरी करने के लिए किया जा सकता है, साथ ही साथ कई भुगतान प्रणालियों के भुगतान रूपों के बैंक कार्ड डेटा चोरी करने के लिए एक बार में उपयोग किया जा सकता है, जैसे तथाकथित सार्वभौमिक स्निफर। यह पाया गया कि कुछ मामलों में, हमलावर साइट के प्रशासनिक पैनल तक पहुंच प्राप्त करने के लिए ऑनलाइन स्टोर के व्यवस्थापकों पर फ़िशिंग हमले करते हैं।

स्निफ़र्स के इस परिवार का उपयोग करने का अभियान मई 2017 में शुरू हुआ, सीएमएस और मैगेंटो, बिगकॉमर्स, शोपिफ़ प्लेटफ़ॉर्म के नियंत्रण वाली साइटों पर हमला किया गया।

रिएक्टगेट ऑनलाइन स्टोर कोड में कैसे एम्बेडेड है

संदर्भ द्वारा स्क्रिप्ट के "क्लासिक" कार्यान्वयन के अलावा, स्निफर्स के रिएक्टगेट परिवार एक विशेष तकनीक का उपयोग करते हैं: जावास्क्रिप्ट कोड का उपयोग करके, यह देखने के लिए जांचता है कि क्या वर्तमान पता जहां उपयोगकर्ता स्थित है, कुछ मानदंडों को पूरा करता है। दुर्भावनापूर्ण कोड केवल तभी लॉन्च किया जाएगा जब वर्तमान URL में विकल्प चेकआउट या onestepcheckout , onepage / , out / onepag , checkout / one , ckout / one हो । इस प्रकार, स्निफर कोड को ठीक उसी समय निष्पादित किया जाएगा जब उपयोगकर्ता खरीद के लिए भुगतान करने के लिए आगे बढ़ता है और साइट पर फॉर्म में भुगतान जानकारी दर्ज करता है।

यह स्निफर एक गैर-मानक तकनीक का उपयोग करता है। पीड़ित का भुगतान और व्यक्तिगत डेटा एक साथ एकत्र किया जाता है, बेस 64 का उपयोग करके एन्कोड किया जाता है, और फिर परिणामी स्ट्रिंग को हमलावर साइट पर अनुरोध भेजने के लिए एक पैरामीटर के रूप में उपयोग किया जाता है। बहुधा, गेट का रास्ता जावास्क्रिप्ट फ़ाइल को अनुकरण करता है, उदाहरण के लिए resp.js , data.js और इसी तरह, लेकिन छवि फ़ाइलों, GIFs और JPGs के लिंक का भी उपयोग किया जाता है। ख़ासियत यह है कि स्निफर 1 पिक्सेल 1 के आकार के साथ एक छवि वस्तु बनाता है और छवि के एक src पैरामीटर के रूप में पहले प्राप्त लिंक का उपयोग करता है। यही है, उपयोगकर्ता के लिए, ट्रैफ़िक में ऐसा अनुरोध एक नियमित चित्र के लिए अनुरोध की तरह दिखेगा। ImageID परिवार के स्निफ़र्स में एक समान तकनीक का उपयोग किया गया था। इसके अलावा, कई वैध ऑनलाइन विश्लेषिकी लिपियों में 1 बाय 1 पिक्सेल छवि का उपयोग करने की तकनीक का उपयोग किया जाता है, जो उपयोगकर्ता को गुमराह भी कर सकता है।

संस्करण विश्लेषण

रिएक्टगेट स्निफर ऑपरेटरों द्वारा उपयोग किए जाने वाले सक्रिय डोमेन के विश्लेषण से इस परिवार के स्नाइपरों के कई अलग-अलग संस्करण सामने आए। संस्करण ओफ़्सेकेशन की उपस्थिति या अनुपस्थिति में भिन्न होते हैं, और इसके अलावा, प्रत्येक स्निफर एक विशिष्ट भुगतान प्रणाली के लिए डिज़ाइन किया गया है जो ऑनलाइन स्टोर के लिए बैंक कार्ड भुगतान की प्रक्रिया करता है। संस्करण संख्या के अनुरूप पैरामीटर के मूल्य को क्रमबद्ध करने के बाद, समूह-आईबी विशेषज्ञों को उपलब्ध स्निफर विविधताओं की एक पूरी सूची प्राप्त हुई, और फॉर्म फ़ील्ड के नामों से जो प्रत्येक स्निफर पेज कोड में दिखता है, उन्होंने भुगतान प्रणालियों को निर्धारित किया कि स्निफर का उद्देश्य क्या है।

स्निफर्स और उनके संबंधित भुगतान प्रणालियों की सूची

स्निफर यूआरएल	भुगतान प्रणाली
reactjsapi.com/react.js	Authorize.Net
ajaxstatic.com/api.js?v=2.1.1	Cardsave
ajaxstatic.com/api.js?v=2.1.2	Authorize.Net
ajaxstatic.com/api.js?v=2.1.3	Authorize.Net
ajaxstatic.com/api.js?v=2.1.4	ईवे रैपिड
ajaxstatic.com/api.js?v=2.1.5	Authorize.Net
ajaxstatic.com/api.js?v=2.1.6	Adyen
ajaxstatic.com/api.js?v=2.1.7	USAePay
ajaxstatic.com/api.js?v=2.1.9	Authorize.Net
apitstatus.com/api.js?v=2.1.1	USAePay
apitstatus.com/api.js?v=2.1.2	Authorize.Net
apitstatus.com/api.js?v=2.1.3	Moneris
apitstatus.com/api.js?v=2.1.5	USAePay
apitstatus.com/api.js?v=2.1.6	पेपैल
apitstatus.com/api.js?v=2.1.7	सेज पे
apitstatus.com/api.js?v=2.1.8	Verisign
apitstatus.com/api.js?v=2.1.9	पेपैल
apitstatus.com/api.js?v=2.3.0	पट्टी
apitstatus.com/api.js?v=3.0.2	Realex
apitstatus.com/api.js?v=3.0.3	पेपैल
apitstatus.com/api.js?v=3.0.4	LinkPoint
apitstatus.com/api.js?v=3.0.5	पेपैल
apitstatus.com/api.js?v=3.0.7	पेपैल
apitstatus.com/api.js?v=3.0.8	DataCash
apitstatus.com/api.js?v=3.0.9	पेपैल
asianfoodgracer.com/footer.js	Authorize.Net
billgetstatus.com/api.js?v=1.2	Authorize.Net
billgetstatus.com/api.js?v=1.3	Authorize.Net
billgetstatus.com/api.js?v=1.4	Authorize.Net
billgetstatus.com/api.js?v=1.5	Verisign
billgetstatus.com/api.js?v=1.6	Authorize.Net
billgetstatus.com/api.js?v=1.7	Moneris
billgetstatus.com/api.js?v=1.8	सेज पे
billgetstatus.com/api.js?v=2.0	USAePay
billgetstatus.com/react.js	Authorize.Net
cloudodesc.com/gtm.js?v=1.2	Authorize.Net
cloudodesc.com/gtm.js?v=1.3	ANZ ईगेट
cloudodesc.com/gtm.js?v=2.3	Authorize.Net
cloudodesc.com/gtm.js?v=2.4	Moneris
cloudodesc.com/gtm.js?v=2.6	सेज पे
cloudodesc.com/gtm.js?v=2.7	सेज पे
cloudodesc.com/gtm.js?v=2.8	चेस पेमेंट
cloudodesc.com/gtm.js?v=2.9	Authorize.Net
cloudodesc.com/gtm.js?v=2.91	Adyen
cloudodesc.com/gtm.js?v=2.92	PsiGate
cloudodesc.com/gtm.js?v=2.93	साइबर स्रोत
cloudodesc.com/gtm.js?v=2.95	ANZ ईगेट
cloudodesc.com/gtm.js?v=2.97	Realex
geisseie.com/gs.js	USAePay
gtmproc.com/age.js	Authorize.Net
gtmproc.com/gtm.js?v=1.2	Authorize.Net
gtmproc.com/gtm.js?v=1.3	ANZ ईगेट
gtmproc.com/gtm.js?v=1.5	पेपैल
gtmproc.com/gtm.js?v=1.6	पेपैल
gtmproc.com/gtm.js?v=1.7	Realex
livecheckpay.com/api.js?v=2.0	सेज पे
livecheckpay.com/api.js?v=2.1	पेपैल
livecheckpay.com/api.js?v=2.2	Verisign
livecheckpay.com/api.js?v=2.3	Authorize.Net
livecheckpay.com/api.js?v=2.4	Verisign
livecheckpay.com/react.js	Authorize.Net
livegetpay.com/pay.js?v=2.1.2	ANZ ईगेट
livegetpay.com/pay.js?v=2.1.3	पेपैल
livegetpay.com/pay.js?v=2.1.5	साइबर स्रोत
livegetpay.com/pay.js?v=2.1.7	Authorize.Net
livegetpay.com/pay.js?v=2.1.8	सेज पे
livegetpay.com/pay.js?v=2.1.9	Realex
livegetpay.com/pay.js?v=2.2.0	साइबर स्रोत
livegetpay.com/pay.js?v=2.2.1	पेपैल
livegetpay.com/pay.js?v=2.2.2	पेपैल
livegetpay.com/pay.js?v=2.2.3	पेपैल
livegetpay.com/pay.js?v=2.2.4	Verisign
livegetpay.com/pay.js?v=2.2.5	ईवे रैपिड
livegetpay.com/pay.js?v=2.2.7	सेज पे
livegetpay.com/pay.js?v=2.2.8	सेज पे
livegetpay.com/pay.js?v=2.2.9	Verisign
livegetpay.com/pay.js?v=2.3.0	Authorize.Net
livegetpay.com/pay.js?v=2.3.1	Authorize.Net
livegetpay.com/pay.js?v=2.3.2	पहला डेटा ग्लोबल गेटवे
livegetpay.com/pay.js?v=2.3.3	Authorize.Net
livegetpay.com/pay.js?v=2.3.4	Authorize.Net
livegetpay.com/pay.js?v=2.3.5	Moneris
livegetpay.com/pay.js?v=2.3.6	Authorize.Net
livegetpay.com/pay.js?v=2.3.8	पेपैल
livegetpay.com/pay.js?v=2.4.0	Verisign
maxstatics.com/site.js	USAePay
mediapack.info/track.js?d=funlove.com	USAePay
mediapack.info/track.js?d=qbedding.com	Authorize.Net
mediapack.info/track.js?d=vseyewear.com	Verisign
mxcounter.com/c.js?v=1.2	पेपैल
mxcounter.com/c.js?v=1.3	Authorize.Net
mxcounter.com/c.js?v=1.4	पट्टी
mxcounter.com/c.js?v=1.6	Authorize.Net
mxcounter.com/c.js?v=1.7	ईवे रैपिड
mxcounter.com/c.js?v=1.8	सेज पे
mxcounter.com/c.js?v=2.0	Authorize.Net
mxcounter.com/c.js?v=2.1	Braintree
mxcounter.com/c.js?v=2.10	Braintree
mxcounter.com/c.js?v=2.2	पेपैल
mxcounter.com/c.js?v=2.3	सेज पे
mxcounter.com/c.js?v=2.31	सेज पे
mxcounter.com/c.js?v=2.32	Authorize.Net
mxcounter.com/c.js?v=2.33	पेपैल
mxcounter.com/c.js?v=2.34	Authorize.Net
mxcounter.com/c.js?v=2.35	Verisign
mxcounter.com/click.js?v=1.2	पेपैल
mxcounter.com/click.js?v=1.3	Authorize.Net
mxcounter.com/click.js?v=1.4	पट्टी
mxcounter.com/click.js?v=1.6	Authorize.Net
mxcounter.com/click.js?v=1.7	ईवे रैपिड
mxcounter.com/click.js?v=1.8	सेज पे
mxcounter.com/click.js?v=2.0	Authorize.Net
mxcounter.com/click.js?v=2.1	Braintree
mxcounter.com/click.js?v=2.2	पेपैल
mxcounter.com/click.js?v=2.3	सेज पे
mxcounter.com/click.js?v=2.31	सेज पे
mxcounter.com/click.js?v=2.32	Authorize.Net
mxcounter.com/click.js?v=2.33	पेपैल
mxcounter.com/click.js?v=2.34	Authorize.Net
mxcounter.com/click.js?v=2.35	Verisign
mxcounter.com/cnt.js	Authorize.Net
mxcounter.com/j.js	Authorize.Net
newrelicnet.com/api.js?v=1.2	Authorize.Net
newrelicnet.com/api.js?v=1.4	Authorize.Net
newrelicnet.com/api.js?v=1.8	सेज पे
newrelicnet.com/api.js?v=4.5	सेज पे
newrelicnet.com/api.js?v=4.6	वेस्टपैक पेवे
nr-public.com/api.js?v=2.0	PayFort
nr-public.com/api.js?v=2.1	पेपैल
nr-public.com/api.js?v=2.2	Authorize.Net
nr-public.com/api.js?v=2.3	पट्टी
nr-public.com/api.js?v=2.4	पहला डेटा ग्लोबल गेटवे
nr-public.com/api.js?v=2.5	PsiGate
nr-public.com/api.js?v=2.6	Authorize.Net
nr-public.com/api.js?v=2.7	Authorize.Net
nr-public.com/api.js?v=2.8	Moneris
nr-public.com/api.js?v=2.9	Authorize.Net
nr-public.com/api.js?v=3.1	सेज पे
nr-public.com/api.js?v=3.2	Verisign
nr-public.com/api.js?v=3.3	Moneris
nr-public.com/api.js?v=3.5	पेपैल
nr-public.com/api.js?v=3.6	LinkPoint
nr-public.com/api.js?v=3.7	वेस्टपैक पेवे
nr-public.com/api.js?v=3.8	Authorize.Net
nr-public.com/api.js?v=4.0	Moneris
nr-public.com/api.js?v=4.0.2	पेपैल
nr-public.com/api.js?v=4.0.3	Adyen
nr-public.com/api.js?v=4.0.4	पेपैल
nr-public.com/api.js?v=4.0.5	Authorize.Net
nr-public.com/api.js?v=4.0.6	USAePay
nr-public.com/api.js?v=4.0.7	EBizCharge
nr-public.com/api.js?v=4.0.8	Authorize.Net
nr-public.com/api.js?v=4.0.9	Verisign
nr-public.com/api.js?v=4.1.2	Verisign
ordercheckpays.com/api.js?v=2.11	Authorize.Net
ordercheckpays.com/api.js?v=2.12	पेपैल
ordercheckpays.com/api.js?v=2.13	Moneris
ordercheckpays.com/api.js?v=2.14	Authorize.Net
ordercheckpays.com/api.js?v=2.15	पेपैल
ordercheckpays.com/api.js?v=2.16	पेपैल
ordercheckpays.com/api.js?v=2.17	वेस्टपैक पेवे
ordercheckpays.com/api.js?v=2.18	Authorize.Net
ordercheckpays.com/api.js?v=2.19	Authorize.Net
ordercheckpays.com/api.js?v=2.21	सेज पे
ordercheckpays.com/api.js?v=2.22	Verisign
ordercheckpays.com/api.js?v=2.23	Authorize.Net
ordercheckpays.com/api.js?v=2.24	पेपैल
ordercheckpays.com/api.js?v=2.25	PayFort
ordercheckpays.com/api.js?v=2.29	साइबर स्रोत
ordercheckpays.com/api.js?v=2.4	PayPal Payflow प्रो
ordercheckpays.com/api.js?v=2.7	Authorize.Net
ordercheckpays.com/api.js?v=2.8	Authorize.Net
ordercheckpays.com/api.js?v=2.9	Verisign
ordercheckpays.com/api.js?v=3.1	Authorize.Net
ordercheckpays.com/api.js?v=3.2	Authorize.Net
ordercheckpays.com/api.js?v=3.3	सेज पे
ordercheckpays.com/api.js?v=3.4	Authorize.Net
ordercheckpays.com/api.js?v=3.5	पट्टी
ordercheckpays.com/api.js?v=3.6	Authorize.Net
ordercheckpays.com/api.js?v=3.7	Authorize.Net
ordercheckpays.com/api.js?v=3.8	Verisign
ordercheckpays.com/api.js?v=3.9	पेपैल
ordercheckpays.com/api.js?v=4.0	Authorize.Net
ordercheckpays.com/api.js?v=4.1	Authorize.Net
ordercheckpays.com/api.js?v=4.2	सेज पे
ordercheckpays.com/api.js?v=4.3	Authorize.Net
reactjsapi.com/api.js?v=0.1.0	Authorize.Net
reactjsapi.com/api.js?v=0.1.1	पेपैल
reactjsapi.com/api.js?v=4.1.2	चकमक पत्थर
reactjsapi.com/api.js?v=4.1.4	पेपैल
reactjsapi.com/api.js?v=4.1.5	सेज पे
reactjsapi.com/api.js?v=4.1.51	Verisign
reactjsapi.com/api.js?v=4.1.6	Authorize.Net
reactjsapi.com/api.js?v=4.1.7	Authorize.Net
reactjsapi.com/api.js?v=4.1.8	पट्टी
reactjsapi.com/api.js?v=4.1.9	मोटा ज़ेबरा
reactjsapi.com/api.js?v=4.2.0	सेज पे
reactjsapi.com/api.js?v=4.2.1	Authorize.Net
reactjsapi.com/api.js?v=4.2.2	पहला डेटा ग्लोबल गेटवे
reactjsapi.com/api.js?v=4.2.3	Authorize.Net
reactjsapi.com/api.js?v=4.2.4	ईवे रैपिड
reactjsapi.com/api.js?v=4.2.5	Adyen
reactjsapi.com/api.js?v=4.2.7	पेपैल
reactjsapi.com/api.js?v=4.2.8	क्विकबुक मर्चेंट सर्विसेज
reactjsapi.com/api.js?v=4.2.9	Verisign
reactjsapi.com/api.js?v=4.2.91	सेज पे
reactjsapi.com/api.js?v=4.2.92	Verisign
reactjsapi.com/api.js?v=4.2.94	Authorize.Net
reactjsapi.com/api.js?v=4.3.97	Authorize.Net
reactjsapi.com/api.js?v=4.5	सेज पे
reactjsapi.com/react.js	Authorize.Net
sydneysalonsupplies.com/gtm.js	ईवे रैपिड
tagsmediaget.com/react.js	Authorize.Net
tagstracking.com/tag.js?v=2.1.2	ANZ ईगेट
tagstracking.com/tag.js?v=2.1.3	पेपैल
tagstracking.com/tag.js?v=2.1.5	साइबर स्रोत
tagstracking.com/tag.js?v=2.1.7	Authorize.Net
tagstracking.com/tag.js?v=2.1.8	सेज पे
tagstracking.com/tag.js?v=2.1.9	Realex
tagstracking.com/tag.js?v=2.2.0	साइबर स्रोत
tagstracking.com/tag.js?v=2.2.1	पेपैल
tagstracking.com/tag.js?v=2.2.2	पेपैल
tagstracking.com/tag.js?v=2.2.3	पेपैल
tagstracking.com/tag.js?v=2.2.4	Verisign
tagstracking.com/tag.js?v=2.2.5	ईवे रैपिड
tagstracking.com/tag.js?v=2.2.7	सेज पे
tagstracking.com/tag.js?v=2.2.8	सेज पे
tagstracking.com/tag.js?v=2.2.9	Verisign
tagstracking.com/tag.js?v=2.3.0	Authorize.Net
tagstracking.com/tag.js?v=2.3.1	Authorize.Net
tagstracking.com/tag.js?v=2.3.2	पहला डेटा ग्लोबल गेटवे
tagstracking.com/tag.js?v=2.3.3	Authorize.Net
tagstracking.com/tag.js?v=2.3.4	Authorize.Net
tagstracking.com/tag.js?v=2.3.5	Moneris
tagstracking.com/tag.js?v=2.3.6	Authorize.Net
tagstracking.com/tag.js?v=2.3.8	पेपैल

पासवर्ड स्निफर

साइट के क्लाइंट पक्ष पर काम करने वाले जावास्क्रिप्ट स्निफर्स के फायदों में से एक इसकी बहुमुखी प्रतिभा है: साइट पर एम्बेडेड दुर्भावनापूर्ण कोड किसी भी प्रकार के डेटा को चुरा सकता है, चाहे वह भुगतान डेटा हो या उपयोगकर्ता खाते का उपयोगकर्ता नाम और पासवर्ड। ग्रुप-आईबी विशेषज्ञों ने रिएक्टगेट परिवार से संबंधित एक स्निफर का नमूना खोजा, जो साइट उपयोगकर्ताओं के ईमेल पते और पासवर्ड चोरी करने के लिए डिज़ाइन किया गया था।

ImageID स्निफर के साथ अंतःक्रिया

संक्रमित दुकानों में से एक के विश्लेषण से पता चला कि उनकी साइट दो बार संक्रमित हुई थी: रिएक्टगेट स्निफर परिवार के दुर्भावनापूर्ण कोड के अलावा, एक इमेजिड परिवार स्निफर कोड का पता चला था। यह चौराहा संकेत दे सकता है कि दोनों स्निफर के उपयोग के पीछे के ऑपरेटर दुर्भावनापूर्ण कोड को इंजेक्ट करने के लिए समान तकनीकों का उपयोग करते हैं।

यूनिवर्सल स्निफर

रिएक्टगेट स्निफर इन्फ्रास्ट्रक्चर से संबंधित डोमेन नामों में से एक के विश्लेषण से पता चला कि एक ही उपयोगकर्ता ने तीन अन्य डोमेन नामों को पंजीकृत किया था। इन तीन डोमेन ने वास्तविक जीवन की साइटों के डोमेन की नकल की और पहले स्निफर्स की मेजबानी करने के लिए उपयोग किया गया था। तीन वैध साइटों के कोड का विश्लेषण करते समय, एक अज्ञात स्निफ़र की खोज की गई थी, और आगे के विश्लेषण से पता चला कि यह रिएक्टगेट स्निफ़र का एक बेहतर संस्करण है। इस परिवार के स्नाइपरों के सभी पहले से देखे गए संस्करणों का लक्ष्य एकल भुगतान प्रणाली से था, अर्थात प्रत्येक भुगतान प्रणाली के लिए स्निफर के एक विशेष संस्करण की आवश्यकता थी। हालांकि, इस मामले में, स्निफर का एक सार्वभौमिक संस्करण खोजा गया था, जो ऑनलाइन भुगतान के लिए ई-कॉमर्स साइटों के 15 विभिन्न भुगतान प्रणालियों और मॉड्यूल से संबंधित रूपों से जानकारी चोरी करने में सक्षम था।

इसलिए, काम की शुरुआत में, स्निफर ने पीड़ित के व्यक्तिगत जानकारी वाले फॉर्म के आधार क्षेत्रों की खोज की: पूर्ण नाम, भौतिक पता, फोन नंबर।

तब स्निफर ने ऑनलाइन भुगतान के लिए विभिन्न भुगतान प्रणालियों और मॉड्यूल के अनुरूप 15 से अधिक विभिन्न उपसर्गों की खोज की।

इसके अलावा, पीड़ित के व्यक्तिगत डेटा और भुगतान की जानकारी को एक साथ एकत्र किया गया था और हमलावर द्वारा नियंत्रित साइट पर भेजा गया था: इस विशेष मामले में, दो अलग-अलग हैक की गई साइटों पर स्थित रिएक्टगेट यूनिवर्सल स्निफर के दो संस्करणों की खोज की गई थी। हालाँकि, दोनों संस्करणों ने चुराए गए डेटा को उसी हैक की गई साइट zoobashop.com पर भेज दिया।

पीड़ित के भुगतान की जानकारी वाले क्षेत्रों की खोज के लिए स्निफर द्वारा उपयोग किए गए उपसर्गों के विश्लेषण ने हमें यह निर्धारित करने की अनुमति दी कि यह स्निफर पैटर्न निम्नलिखित भुगतान प्रणालियों के उद्देश्य से था:

Authorize.Net
Verisign
पहला डेटा
USAePay
पट्टी
पेपैल
ANZ ईगेट
Braintree
डेटाकैश (मास्टर कार्ड)
रीलेक्स भुगतान
PsiGate
हार्टलैंड भुगतान प्रणाली

बिलिंग जानकारी चुराने के लिए किन उपकरणों का उपयोग किया जाता है?

हमलावर के बुनियादी ढांचे के विश्लेषण के दौरान खोजा गया पहला उपकरण बैंक कार्ड चोरी करने के लिए जिम्मेदार दुर्भावनापूर्ण लिपियों को बाधित करने के लिए उपयोग किया जाता है। स्निफर कोड के ओफ़्सेटेशन को स्वचालित करने के लिए जावास्क्रिप्ट-ऑब्सफ्यूटर सीएलआई का उपयोग करते हुए हमलावर मेजबानों में से एक पर एक बैश स्क्रिप्ट की खोज की गई थी।

दूसरा पता लगाया गया उपकरण कोड बनाने के लिए डिज़ाइन किया गया है जो मुख्य स्निफर लोड करने के लिए जिम्मेदार है। यह उपकरण जावास्क्रिप्ट कोड उत्पन्न करता है जो जाँचता है कि उपयोगकर्ता चेकआउट लाइन, कार्ट, और इसी तरह उपयोगकर्ता के वर्तमान पते को खोजकर भुगतान पृष्ठ पर है या नहीं और यदि परिणाम सकारात्मक है, तो कोड हमलावर के सर्वर से मुख्य स्निफर लोड करता है। दुर्भावनापूर्ण गतिविधि को छिपाने के लिए, भुगतान पृष्ठ का निर्धारण करने के लिए परीक्षण लाइनों सहित सभी लाइनों, साथ ही साथ स्निफ़र के लिंक को बेस 64 का उपयोग करके एन्कोड किया गया है।

फ़िशिंग हमले

हमलावरों के नेटवर्क बुनियादी ढांचे का विश्लेषण करते समय, यह पाया गया कि अक्सर एक आपराधिक समूह फ़िशिंग का उपयोग लक्ष्य ऑनलाइन स्टोर के प्रशासनिक पैनल तक पहुंच प्राप्त करने के लिए करता है। हमलावर एक डोमेन पंजीकृत करते हैं जो एक स्टोर के डोमेन के समान दिखता है, और फिर उस पर एक नकली Magento व्यवस्थापक पैनल लॉगिन फ़ॉर्म को तैनात करता है। यदि सफल हो, तो हमलावर सीएमएस मैगनेटो व्यवस्थापक पैनल तक पहुंच प्राप्त करेंगे, जो उन्हें साइट घटकों को संपादित करने और क्रेडिट कार्ड की जानकारी चोरी करने के लिए एक स्निफर को लागू करने में सक्षम बनाता है।

आधारभूत संरचना

डोमेन	खोज / प्रकटन तिथि
mediapack.info	2017/04/05
adsgetapi.com	2017/06/15
simcounter.com	2017/08/14
mageanalytics.com	2017/12/22
maxstatics.com	2018/01/16
reactjsapi.com	2018/01/19
mxcounter.com	2018/02/02
apitstatus.com	2018/01/03
orderracker.com	2018/04/20
tagstracking.com	2018/06/25
adsapigate.com	2018/07/12
trust-tracker.com	2018/07/15
fbstatspartner.com	2018/02/10
billgetstatus.com	2018/10/12
aldenmlilhouse.com	2018/10/20
balletbeautlful.com	2018/10/20
bargalnjunkie.com	2018/10/20
payselector.com	2018/10/21
tagsmediaget.com	2018/02/11
hs-payments.com	2018/11/16
ordercheckpays.com	2018/11/19
geisseie.com	2018/11/24
gtmproc.com	2018/11/29
livegetpay.com	2018/12/18
sydneysalonsupplies.com	2018/12/18
newrelicnet.com	2018/12/19
nr-public.com	2019/01/03
cloudodesc.com	2019/01/04
ajaxstatic.com	2019/01/11
livecheckpay.com	2019/01/21
asianfoodgracer.com	2019/01/25

जी-एनालिटिक्स परिवार

स्निफर्स के इस परिवार का उपयोग ऑनलाइन स्टोर के ग्राहकों से कार्ड चुराने के लिए किया जाता है। समूह द्वारा उपयोग किया जाने वाला पहला पहला डोमेन नाम अप्रैल 2016 में पंजीकृत किया गया था, जो 2016 के मध्य में समूह की गतिविधि की शुरुआत का संकेत दे सकता है।

वर्तमान अभियान में, समूह उन डोमेन नामों का उपयोग करता है जो वास्तविक जीवन की सेवाओं जैसे कि Google Analytics और jQuery की नकल करते हैं, वैध स्क्रिप्ट के साथ स्निफर गतिविधि को मास्किंग करते हैं और वैध डोमेन नामों के समान हैं। यह हमला CMS Magento चलाने वाली साइटों पर चलाया गया था।

ऑनलाइन स्टोर कोड में G-Analytics कैसे एम्बेडेड है

इस परिवार की एक विशिष्ट विशेषता उपयोगकर्ता की भुगतान जानकारी की चोरी के विभिन्न तरीकों का उपयोग है। साइट के क्लाइंट भाग में जावास्क्रिप्ट कोड के क्लासिक कार्यान्वयन के अलावा, आपराधिक समूह ने साइट के सर्वर भाग में कोडिंग कोड की तकनीक का भी उपयोग किया, अर्थात् PHP स्क्रिप्ट जो उपयोगकर्ता द्वारा दर्ज किए गए डेटा को संसाधित करते हैं। यह तकनीक इस मायने में खतरनाक है कि इससे तीसरे पक्ष के शोधकर्ताओं के लिए दुर्भावनापूर्ण कोड का पता लगाना मुश्किल हो जाता है। समूह-आईबी विशेषज्ञों ने साइट के PHP कोड में एम्बेड किए गए एक स्निफ़र के एक संस्करण की खोज की, जो गेट के रूप में dittm.org डोमेन का उपयोग करता है।

स्निफर का एक पूर्व संस्करण भी खोजा गया था, जो चुराए गए डेटा को इकट्ठा करने के लिए उसी dittm.org डोमेन का उपयोग करता है, लेकिन यह संस्करण ऑनलाइन स्टोर के क्लाइंट पक्ष पर स्थापना के लिए पहले से ही है।

बाद में, समूह ने अपनी रणनीति बदल दी और दुर्भावनापूर्ण गतिविधि को छुपाने और छिपाने के लिए अधिक ध्यान देना शुरू कर दिया।

2017 की शुरुआत में, समूह ने jquery-js.com डोमेन का उपयोग करना शुरू कर दिया, जो jQuery के लिए CDN के रूप में सामने आता है: जब यह घुसपैठियों की साइट पर जाता है, तो उपयोगकर्ता को वैध साइट jyery.com पर पुनर्निर्देशित किया जाता है ।

और 2018 के मध्य में, समूह ने g-analytics.com डोमेन नाम को अपना लिया और वैध Google Analytics सेवा के तहत स्निफर की गतिविधियों को नाकाम करना शुरू कर दिया।

संस्करण विश्लेषण

स्निफ़र कोड को संग्रहीत करने के लिए उपयोग किए जाने वाले डोमेन के विश्लेषण के दौरान, यह पाया गया कि साइट में बड़ी संख्या में संस्करण हैं जो ओफ़्फ़िकेशन की उपस्थिति से भिन्न होते हैं, साथ ही ध्यान देने योग्य और दुर्भावनापूर्ण कोड को छिपाने के लिए फाइल में जोड़े जाने वाले अनुपलब्ध कोड की उपस्थिति या अनुपस्थिति।

कुल मिलाकर, jquery-js.com पर स्नाइपरों के छह संस्करणों की पहचान की गई थी । ये स्निफ़र्स चुराए गए डेटा को उसी साइट पर स्थित पते पर भेजते हैं जो स्निफ़र के रूप में है: hxxps: // jquery-js [।] कॉम / नवीनतम / jquery.min.js :

hxxps: // jquery-js [।] com / jquery.min.js
hxxps: // jquery-js [।] com / jquery.2.2.2.4.min.js
hxxps: // jquery-js [।] com / jquery.1.8.3.min.js
hxxps: // jquery-js [।] com / jquery.1.6.4.min.js
hxxps: // jquery-js [।] com / jquery.1.4.4.min.js
hxxps: // jquery-js [।] com / jquery.1.12.4.min.js

2018 के मध्य से हमलों में समूह द्वारा इस्तेमाल किया जाने वाला बाद में g-analytics.com डोमेन, बड़ी संख्या में स्निफर्स के लिए एक रिपॉजिटरी के रूप में कार्य करता है। कुल 16 अलग-अलग स्निफर संस्करण खोजे गए। इस मामले में, चुराए गए डेटा को भेजने का गेट एक GIF छवि के लिंक के रूप में प्रच्छन्न था: hxxp: // g-analytics [?] Com / __ utm.gif? V = 1 & _v = j68 & = = 98811130 & t = pageview & _s = 1 & sd = 24-bit & sr = 2560x1414 = 2145x371 & je = 0 & _u = AACAAEAB ~ & jid = 1841704724 & gjid = 877686936 और cid
= 1283183910.1527732071 :

hxxps://g-analytics[.]com/libs/1.0.1/analytics.js
hxxps://g-analytics[.]com/libs/1.0.10/analytics.js
hxxps://g-analytics[.]com/libs/1.0.11/analytics.js
hxxps://g-analytics[.]com/libs/1.0.12/analytics.js
hxxps://g-analytics[.]com/libs/1.0.13/analytics.js
hxxps://g-analytics[.]com/libs/1.0.14/analytics.js
hxxps://g-analytics[.]com/libs/1.0.15/analytics.js
hxxps://g-analytics[.]com/libs/1.0.16/analytics.js
hxxps://g-analytics[.]com/libs/1.0.3/analytics.js
hxxps://g-analytics[.]com/libs/1.0.4/analytics.js
hxxps://g-analytics[.]com/libs/1.0.5/analytics.js
hxxps://g-analytics[.]com/libs/1.0.6/analytics.js
hxxps://g-analytics[.]com/libs/1.0.7/analytics.js
hxxps://g-analytics[.]com/libs/1.0.8/analytics.js
hxxps://g-analytics[.]com/libs/1.0.9/analytics.js
hxxps://g-analytics[.]com/libs/analytics.js

आपराधिक समूह एक विशेष रूप से बनाए गए भूमिगत स्टोर के माध्यम से कार्ड बेचकर चुराए गए डेटा को विमुद्रीकृत करता है जो कार्डर्स को सेवाएं प्रदान करता है। कि निर्धारित करने के लिए, हमलावरों द्वारा इस्तेमाल किया संभव डोमेन के विश्लेषण google-analytics.cm डोमेन के रूप में एक ही उपयोगकर्ता द्वारा दर्ज की गई थी cardz.vc । डोमेन cardz.vc चोरी के बैंक कार्ड बेचने वाले स्टोर को संदर्भित करता है Cardurfs (फ्लाईसर्फ्स), जिसने स्निफर का उपयोग करके चोरी किए गए बैंक कार्ड बेचने वाले स्टोर के रूप में भूमिगत ट्रेडिंग प्लेटफॉर्म अल्फाबाय की गतिविधि के दौरान भी लोकप्रियता हासिल की।

एक ही सर्वर पर स्थित एनेलेटिक.इस डोमेन का विश्लेषण करके, चुराए गए डेटा को इकट्ठा करने के लिए स्निफर्स द्वारा उपयोग किए जाने वाले डोमेन के रूप में, ग्रुप-आईबी विशेषज्ञों ने एक फाइल को कुकी-स्टाइलर लॉग से युक्त पाया, जो, ऐसा लगता है कि बाद में डेवलपर द्वारा छोड़ दिया गया था। लॉग में प्रविष्टियों में से एक में iozoz.com डोमेन था, जो पहले 2016 में सक्रिय एक स्निफर में इस्तेमाल किया गया था। संभवतः, यह डोमेन पहले एक हमलावर द्वारा एक स्निफर का उपयोग करके चुराए गए कार्डों को इकट्ठा करने के लिए इस्तेमाल किया गया था। इस डोमेन को ईमेल पते kts241@gmail.com पर पंजीकृत किया गया था, जो कार्डसर्फ कार्डिंग स्टोर से संबंधित cardz.su और cardz.vc डोमेन को पंजीकृत करने के लिए भी इस्तेमाल किया गया था ।

प्राप्त आंकड़ों के आधार पर, यह माना जा सकता है कि स्निफर्स के जी-एनालिटिक्स परिवार और अंडरग्राउंड कार्डसर्फ्स बैंक कार्ड स्टोर को एक ही लोगों द्वारा प्रबंधित किया जाता है, और स्टोर का उपयोग स्निफर का उपयोग करके चोरी किए गए बैंक कार्ड बेचने के लिए किया जाता है।

आधारभूत संरचना

डोमेन	खोज / प्रकटन तिथि
iozoz.com	2016/04/08
dittm.org	2016/09/10
jquery-js.com	2017/01/02
g-analytics.com	31.05.2018
google-analytics.is	21.11.2018
analytic.to	04.12.2018
google-analytics.to	06.12.2018
google-analytics.cm	28.12.2018
analytic.is	28.12.2018
googlc-analytics.cm	17.01.2019

परिवार रोशनी

इल्म एक स्निफ़र परिवार है जिसका उपयोग सीएमएस मैगेंटो चलाने वाले ऑनलाइन स्टोर पर हमला करने के लिए किया जाता है। दुर्भावनापूर्ण कोड शुरू करने के अलावा, इस स्निफर के ऑपरेटर पूर्ण नकली भुगतान विधियों के कार्यान्वयन का भी उपयोग करते हैं जो साइबर अपराधियों द्वारा नियंत्रित फाटकों पर डेटा भेजते हैं।

इस स्निफर के ऑपरेटरों द्वारा उपयोग किए जाने वाले नेटवर्क के बुनियादी ढांचे का विश्लेषण करते समय, बड़ी संख्या में दुर्भावनापूर्ण स्क्रिप्ट, कारनामे, नकली भुगतान फॉर्म, साथ ही प्रतियोगियों के दुर्भावनापूर्ण स्निफर्स के उदाहरणों का एक संग्रह नोट किया गया था। समूह द्वारा उपयोग की जाने वाली तिथियों के डोमेन नाम के बारे में जानकारी के आधार पर, यह माना जा सकता है कि अभियान 2016 के अंत में शुरू हुआ था।

इल्लुम कैसे ऑनलाइन स्टोर कोड एम्बेड करता है

खोजे गए पहले स्निफर संस्करण सीधे समझौता किए गए साइट के कोड में एम्बेड किए गए थे। चुराए गए डेटा को cdn.illum [।] Pw / record.php पर भेज दिया गया था , गेट को base64 का उपयोग करके एन्कोड किया गया था ।

स्निफर का एक पैकेज्ड संस्करण बाद में एक अन्य गेट - record.nstatistics [।] कॉम / रिकॉर्ड्स . php का उपयोग करके खोजा गया था ।

के अनुसार रिपोर्ट, विलेम डी Groot, पर होस्ट प्रयुक्त स्निफर, जिस पर पेश किया गया था था स्टोर साइट , जर्मन राजनीतिक दल CSU के स्वामित्व वाले।

घुसपैठियों की साइट का विश्लेषण

समूह-आईबी विशेषज्ञों ने इस आपराधिक समूह द्वारा उपयोग की जाने वाली साइट की खोज की और विश्लेषण किया कि उपकरण संग्रहीत करें और चोरी की जानकारी एकत्र करें।

हमलावरों के सर्वर पर पाए जाने वाले उपकरणों में, लिनक्स पर विशेषाधिकार बढ़ाने के लिए स्क्रिप्ट और कारनामे पाए गए: उदाहरण के लिए, माइक प्रिज़्मेज एस्केलेशन चेक स्क्रिप्ट, माइक कज़ुमक द्वारा विकसित की गई, साथ ही सीवीई -2009-1185 के लिए एक शोषण।

हमलावरों ने ऑनलाइन स्टोर पर हमला करने के लिए सीधे दो कारनामों का इस्तेमाल किया: पहला सीवीई-2016-4010 का शोषण करके core_config_data में दुर्भावनापूर्ण कोड को इंजेक्ट करने में सक्षम है , दूसरा CCE मैगेंटो के लिए प्लग-इन में एक RCE भेद्यता का शोषण करता है, जिससे कमजोर वेब सर्वर पर मनमाना कोड निष्पादित किया जा सकता है।

इसके अलावा, सर्वर के विश्लेषण के दौरान, स्निफर्स और नकली भुगतान रूपों के विभिन्न नमूनों का उपयोग किया गया था, हमलावरों द्वारा हैक की गई साइटों से भुगतान जानकारी एकत्र करने के लिए उपयोग किया गया था। जैसा कि आप नीचे दी गई सूची से देख सकते हैं, प्रत्येक हैक की गई साइट के लिए कुछ स्क्रिप्ट व्यक्तिगत रूप से बनाई गई थीं, जबकि कुछ सीएमएस और भुगतान गेटवे के लिए एक सार्वभौमिक समाधान का उपयोग किया गया था। उदाहरण के लिए, स्क्रिप्ट segapay_standart.js और segapay_onpage.js को ऋषि भुगतान भुगतान गेटवे का उपयोग करके साइटों पर लागू करने के लिए डिज़ाइन किया गया है।

विभिन्न भुगतान गेटवे के लिए स्क्रिप्ट की सूची


sr.illum [.]pw/mjs_special/visiondirect.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs_special/topdierenshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/tiendalenovo.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/pro-bolt.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/plae.co.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/ottolenghi.co.uk.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/oldtimecandy.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs_special/mylook.ee.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/mjs_special/luluandsky.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs_special/julep.com.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/mjs_special/gymcompany.es.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/grotekadoshop.nl.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs_special/fushi.co.uk.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs_special/fareastflora.com.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs_special/compuindia.com.js	//request.payrightnow[.]cf/alldata.php
sr.illum [.]pw/mjs/segapay_standart.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/mjs/segapay_onpage.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/mjs/replace_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/mjs/all_inputs.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/mjs/add_inputs_standart.js	//request.payrightnow[.]cf/checkpayment.php
sr.illum [.]pw/magento/payment_standart.js	//cdn.illum[.]pw/records.php
sr.illum [.]pw/magento/payment_redirect.js	//payrightnow[.]cf/?payment=
sr.illum [.]pw/magento/payment_redcrypt.js	//payrightnow[.]cf/?payment=
sr.illum [.]pw/magento/payment_forminsite.js	//paymentnow[.]tk/?payment=

भुगतान करने योग्य [।] Tk होस्ट , जिसका उपयोग payment_forminsite.js स्क्रिप्ट में एक गेट के रूप में किया जाता है , CloudFlare सेवा से संबंधित कई प्रमाणपत्रों में subjectAltName के रूप में पाया गया था । इसके अलावा, बुराई .js स्क्रिप्ट होस्ट पर स्थित थी । स्क्रिप्ट के नाम से देखते हुए, इसे CVE-2016-4010 के संचालन के हिस्से के रूप में इस्तेमाल किया जा सकता है, धन्यवाद जिसके कारण सीएमएस मैगेंटो चलाने वाले साइट के पाद लेख में दुर्भावनापूर्ण कोड इंजेक्ट करना संभव है। गेट के रूप में, इस स्क्रिप्ट में request.requestnet [।] Tk होस्ट का उपयोग किया गया था, जो भुगतान प्रमाणपत्र के रूप में एक ही प्रमाण पत्र का उपयोग करता है []] Tk होस्ट ।

फेक पेमेंट फॉर्म

नीचे दिया गया आंकड़ा मानचित्र डेटा दर्ज करने के लिए एक फ़ॉर्म का एक उदाहरण दिखाता है। इस फॉर्म का उपयोग एक ऑनलाइन स्टोर वेबसाइट को एम्बेड करने और कार्ड डेटा चोरी करने के लिए किया गया था।

निम्न आंकड़ा एक फर्जी पेपल भुगतान फॉर्म का एक उदाहरण है जिसका उपयोग साइबर अपराधियों द्वारा इस भुगतान पद्धति वाली साइटों पर तैनात करने के लिए किया गया था।

आधारभूत संरचना

	/
cdn.illum.pw	27/11/2016
records.nstatistics.com	06/09/2018
request.payrightnow.cf	25/05/2018
paymentnow.tk	16/07/2017
payment-line.tk	01/03/2018
paymentpal.cf	04/09/2017
requestnet.tk	28/06/2017

CoffeMokko परिवार

ऑनलाइन स्टोर के उपयोगकर्ताओं से बैंक कार्ड चोरी करने के लिए डिज़ाइन किए गए स्निफ़र्स के कॉफ़ेमोको परिवार का उपयोग कम से कम मई 2017 से किया गया है। संभवतः, इस स्निफर परिवार के ऑपरेटर 2016 में रिस्कआईक्यू विशेषज्ञों द्वारा वर्णित आपराधिक समूह समूह 1 हैं। Magento, OpenCart, WordPress, osCommerce, Shopify जैसी सीएमएस चलाने वाली साइटों के नियंत्रण में आ गए।

CoffeMokko को ऑनलाइन स्टोर के कोड में कैसे लागू किया जाता है

इस परिवार के संचालक प्रत्येक संक्रमण के लिए अद्वितीय स्निफर्स बनाते हैं: स्निफर फ़ाइल हमलावर सर्वर पर src या js डायरेक्टरी में स्थित होती है। साइट कोड में कार्यान्वयन स्निफर के लिए एक सीधा लिंक द्वारा किया जाता है।

स्निफर कोड में, फॉर्म फ़ील्ड के नाम जहां से डेटा चुराया जाना चाहिए हार्डकोड किया गया है। स्निफर यह भी जांचता है कि क्या उपयोगकर्ता भुगतान पृष्ठ पर है, उपयोगकर्ता के वर्तमान पते के साथ कीवर्ड की सूची की जांच कर रहा है।

कुछ खोजे गए स्निफर संस्करणों को बाधित किया गया था और इसमें एक एन्क्रिप्टेड स्ट्रिंग शामिल थी जिसमें संसाधनों का मुख्य सरणी संग्रहीत किया गया था: इसमें विभिन्न भुगतान प्रणालियों के लिए प्रपत्र फ़ील्ड्स के नाम शामिल थे, साथ ही गेट का पता, जिसमें चोरी किए गए डेटा को भेजा जाना चाहिए।

चोरी हुए भुगतान की जानकारी हमलावर सर्वर पर पथ /savePayment/index.php या /tr/index.php के साथ स्क्रिप्ट को भेजी गई थी । संभवतः, इस स्क्रिप्ट का उपयोग गेट से मुख्य सर्वर तक डेटा भेजने के लिए किया जाता है, जो सभी स्निफर्स से डेटा को समेकित करता है। प्रेषित डेटा को छिपाने के लिए, पीड़ित के भुगतान की सभी जानकारी को आधार 64 का उपयोग करके एन्कोड किया जाता है , और फिर कई प्रतीक प्रतिस्थापन होते हैं:

"e" को ":" से बदल दिया जाता है
"w" को "+" से बदल दिया जाता है
चरित्र "ओ" को "%" से बदल दिया जाता है
चरित्र "d" को "#" से बदल दिया जाता है
चरित्र "a" को "-" से बदल दिया जाता है
चरित्र "7" को "^" से बदल दिया गया है
"h" अक्षर को "_" से बदल दिया जाता है
चरित्र "T" को "@" से बदल दिया गया है
चरित्र "0" को "/" से बदल दिया जाता है
चरित्र "Y" को "*" से बदल दिया जाता है

चरित्र प्रतिस्थापन के परिणामस्वरूप, बेस 64 एनकोडेड डेटा को रिवर्स रूपांतरण के बिना डिकोड नहीं किया जा सकता है।

यह स्निफर कोड स्निपेट है जिसमें कोई बाधा नहीं थी:

अवसंरचना विश्लेषण

शुरुआती अभियानों में, हमलावरों ने वैध ऑनलाइन शॉपिंग साइटों के डोमेन के समान डोमेन नाम पंजीकृत किए। उनका डोमेन वैध एक वर्ण या दूसरे TLD से भिन्न हो सकता है। स्निफर कोड को स्टोर करने के लिए पंजीकृत डोमेन का उपयोग किया गया था, जिस लिंक को स्टोर कोड में एम्बेड किया गया था।

इसके अलावा, इस समूह ने jQuery ( slickjs [] slick.js प्लगइन का उपयोग करने वाली साइटों के लिए ओर्ग ), पेमेंट गेटवे ( sagecdn [।] ऑरग पे पेमेंट सिस्टम का उपयोग करने वाले साइटों के लिए ओर्ग ) के नाम से डोमेन नाम का उपयोग किया।

बाद में, समूह ने ऐसे डोमेन बनाने शुरू किए जिनके नाम का स्टोर के डोमेन या स्टोर की थीम से कोई लेना-देना नहीं था।

प्रत्येक डोमेन उस साइट के अनुरूप है जिस पर / js या / src डायरेक्टरी बनाई गई थी । इस निर्देशिका में स्निफर लिपियों को संग्रहीत किया गया था: प्रत्येक नए संक्रमण के लिए एक स्निफ़र। स्निफर को प्रत्यक्ष लिंक के माध्यम से साइट कोड में इंजेक्ट किया गया था, लेकिन दुर्लभ मामलों में, हमलावरों ने साइट फ़ाइलों में से एक को संशोधित किया और इसमें दुर्भावनापूर्ण कोड जोड़ा।

कोड विश्लेषण

पहला ऑबफ्यूजन एल्गोरिथ्म

इस परिवार के कुछ स्निफर नमूनों में, कोड को बाधित किया गया था और इसमें स्निफर के काम करने के लिए आवश्यक एन्क्रिप्टेड डेटा शामिल था: विशेष रूप से, स्निफर गेट का पता, भुगतान प्रपत्र फ़ील्ड की सूची, और कुछ मामलों में एक नकली भुगतान फ़ॉर्म कोड। फ़ंक्शन के अंदर कोड में, संसाधनों को XOR का उपयोग करके एन्क्रिप्ट किया गया था जो उसी फ़ंक्शन के तर्क के रूप में पारित किया गया था।

प्रत्येक नमूने के लिए अद्वितीय, इसी कुंजी के साथ स्ट्रिंग को डिक्रिप्ट करके, आप सीमांकक कोड से सभी रेखाओं को सीमांकक वर्ण के माध्यम से प्राप्त कर सकते हैं।

दूसरा आक्षेप एल्गोरिथ्म

इस परिवार के बाद के स्निफर नमूनों में, एक अलग आक्षेप प्रणाली का उपयोग किया गया था: इस मामले में, डेटा को स्व-लिखित एल्गोरिदम का उपयोग करके एन्क्रिप्ट किया गया था। स्निफर काम करने के लिए आवश्यक एन्क्रिप्टेड डेटा युक्त स्ट्रिंग डिक्रिप्शन फ़ंक्शन के तर्क के रूप में पारित किया गया था।

ब्राउज़र कंसोल का उपयोग करके, आप एन्क्रिप्ट किए गए डेटा को डिक्रिप्ट कर सकते हैं और स्निफर संसाधनों से युक्त एक सरणी प्राप्त कर सकते हैं।

प्रारंभिक MageCart हमलों के लिए लिंक

चोरी हुए डेटा को इकट्ठा करने के लिए समूह द्वारा गेट के रूप में उपयोग किए गए डोमेन में से एक के विश्लेषण से पता चला कि डोमेन में क्रेडिट कार्ड चोरी का बुनियादी ढांचा है जो कि ग्रुप 1 द्वारा उपयोग किए जाने वाले एक के समान है, जो रिस्कआईक्यू विशेषज्ञों द्वारा खोजे गए पहले समूहों में से एक है।

कॉफ़ेमोको स्निफ़र परिवार की मेजबानी पर दो फाइलें मिलीं:

mage.js - गेट एड्रेस js-cdn.link के साथ ग्रुप 1 स्निफर कोड वाली फाइल
mag.php - स्निफर-चुराए गए डेटा को इकट्ठा करने के लिए जिम्मेदार PHP स्क्रिप्ट

Mage.js फ़ाइल सामग्री

यह भी पाया गया कि CoffeMokko स्निफर परिवार के पीछे समूह द्वारा उपयोग किए जाने वाले सबसे शुरुआती डोमेन को 17 मई, 2017 को पंजीकृत किया गया था:

लिंक- js [।] लिंक
जानकारी- js [।] लिंक
ट्रैक- js [।] लिंक
map-js [।] लिंक
स्मार्ट- js [।] लिंक

इन डोमेन नामों का प्रारूप समूह 1 डोमेन नाम के समान है जो 2016 के हमलों में उपयोग किया गया था।

खोजे गए तथ्यों के आधार पर, यह माना जा सकता है कि कॉफ़ेमोको स्निफर ऑपरेटरों और समूह 1 आपराधिक समूह के बीच एक संबंध है। संभवतः, CoffeMokko ऑपरेटर अपने पूर्ववर्तियों से कार्ड चोरी के उपकरण और सॉफ्टवेयर उधार ले सकते हैं। हालांकि, यह अधिक संभावना है कि स्निफर्स के कॉफ्मोको परिवार के उपयोग के पीछे आपराधिक समूह वही लोग हैं जिन्होंने समूह 1 की गतिविधियों के हिस्से के रूप में हमलों को अंजाम दिया है। आपराधिक समूह की गतिविधियों पर पहली रिपोर्ट के प्रकाशन के बाद, उनके सभी डोमेन नामों को अवरुद्ध कर दिया गया था, और उपकरणों का विस्तार से अध्ययन किया गया था। वर्णित हैं। समूह को एक ब्रेक लेने, अपने आंतरिक उपकरणों को परिष्कृत करने और अपने हमलों को जारी रखने और किसी का ध्यान नहीं जाने के लिए स्निफर कोड को फिर से लिखने के लिए मजबूर किया गया था।

आधारभूत संरचना

डोमेन	खोज / प्रकटन तिथि
link-js.link	2017/05/17
info-js.link	2017/05/17
track-js.link	2017/05/17
map-js.link	2017/05/17
smart-js.link	2017/05/17
adorebeauty.org	2017/03/09
security-payment.su	2017/03/09
braincdn.org	2017/04/09
sagecdn.org	2017/04/09
slickjs.org	2017/04/09
oakandfort.org	2017/09/10
citywlnery.org	2017/09/15
dobell.su	2017/04/10
childsplayclothing.org	2017/10/31
jewsondirect.com	2017/05/11
shop-rnib.org	2017/11/15
closetlondon.org	2017/11/16
misshaus.org	2017/11/28
battery-force.org	2017/01/12
kik-vape.org	2017/01/12
greatfurnituretradingco.org	2017/02/12
etradesupply.org	2017/04/12
replacemyremote.org	2017/04/12
all-about-sneakers.org	2017/05/12
mage-checkout.org	2017/05/12
nililotan.org	2017/07/12
lamoodbighats.net	2017/08/12
walletgear.org	2017/10/12
dahlie.org	2017/12/12
davidsfootwear.org	2017/12/20
blackriverimaging.org	2017/12/23
exrpesso.org	2018/01/02
parks.su	2018/01/09
pmtonline.su	2018/01/12
ottocap.org	2018/01/15
christohperward.org	2018/01/27
coffetea.org	2018/01/31
energycoffe.org	2018/01/31
energytea.org	2018/01/31
teacoffe.net	2018/01/31
adaptivecss.org	2018/01/03
coffemokko.com	2018/01/03
londontea.net	2018/01/03
ukcoffe.com	2018/01/03
labbe.biz	2018/03/20
batterynart.com	2018/03/04
btosports.net	2018/04/09
chicksaddlery.net	2018/04/16
paypaypay.org	2018/05/11
ar500arnor.com	2018/05/26
authorizecdn.com	2018/05/28
slickmin.com	2018/05/28
bannerbuzz.info	2018/03/06
kandypens.net	2018/06/08
mylrendyphone.com	2018/06/15
freshchat.info	2018/01/07
3lift.org	2018/02/07
abtasty.net	2018/02/07
mechat.info	2018/02/07
zoplm.com	2018/02/07
zapaljs.com	2018/02/09
foodandcot.com	2018/09/15
freshdepor.com	2018/09/15
swappastore.com	2018/09/15
verywellfitnesse.com	2018/09/15
elegrina.com	2018/11/18
majsurplus.com	2018/11/19
top5value.com	2018/11/19

चार जावास्क्रिप्ट स्नाइपर जो आपको ऑनलाइन स्टोर में फंसाते हैं

फैंटम मेंस

रिएक्टगेट परिवार

रिएक्टगेट ऑनलाइन स्टोर कोड में कैसे एम्बेडेड है

संस्करण विश्लेषण

पासवर्ड स्निफर

ImageID स्निफर के साथ अंतःक्रिया

यूनिवर्सल स्निफर

बिलिंग जानकारी चुराने के लिए किन उपकरणों का उपयोग किया जाता है?

फ़िशिंग हमले

जी-एनालिटिक्स परिवार

ऑनलाइन स्टोर कोड में G-Analytics कैसे एम्बेडेड है

संस्करण विश्लेषण

परिवार रोशनी

इल्लुम कैसे ऑनलाइन स्टोर कोड एम्बेड करता है

घुसपैठियों की साइट का विश्लेषण

फेक पेमेंट फॉर्म

CoffeMokko परिवार

CoffeMokko को ऑनलाइन स्टोर के कोड में कैसे लागू किया जाता है

अवसंरचना विश्लेषण

कोड विश्लेषण

पहला ऑबफ्यूजन एल्गोरिथ्म

दूसरा आक्षेप एल्गोरिथ्म

प्रारंभिक MageCart हमलों के लिए लिंक

More articles: