Attaccanti nascondono uno skimmer negli e-commerce sfruttando i caratteri Unicode

I ricercatori di Jscrambler hanno individuato peculiare campagna di attacchi in cui i cybercriminali offuscavano uno skimmer negli e-commerce sfruttano i caratteri Unicode. 

“L’ampio uso di caratteri Unicode, molti dei quali invisibili, rende effettivamente il codice molto difficile da leggere per gli esseri umani“ affermano i ricercatori. Nel dettaglio, gli attaccanti hanno sfruttato la possibilità di usare qualsiasi carattere Unicode per gli identificatori (come nomi di variabili e funzioni) in JavaScript per offuscare il codice dello skimmer.

I ricercatori spiegano che non si tratta affatto di una tecnica avanzata come era sembrato inizialmente, ma introduce effettivamente un livello di confusione aggiuntivo per chi cerca di leggere il codice senza tool per il reverse engineering.

Lo skimmer, soprannominato Mongolian Skimmer dal team di Jscrambler, si occupa di monitorare il DOM delle pagine web per individuare eventuali cambiamenti nei campi di input; questi elementi, spiegano i ricercatori, sono i target primari per raccogliere le informazioni che l’utente inserisce in pagina.

Lo skimmer è anche in grado di controllare l’URL della pagina e individuare keyword quali “checkout” o “admin” per identificare pagine che potenzialmente contengono dati sensibili, i quali vengono poi raccolti e inviati agli attaccanti. Lo script verifica inoltre se è aperta la finestra dei tool per gli sviluppatori e, in caso positivo, disabilita alcune funzioni. I dati vengono raccolti prima che la pagina venga chiusa o aggiornata. Infine, lo skimmer usa una tecnica di anti-debugging per “proteggersi” da possibili modifiche di formato che lo esporrebbero, rendendo inutile l’Unicode.

Il Mongolian Skimmer ha utilizzato una tecnica piuttosto obsoleta per aggiungere un ulteriore livello di offuscamento e di certo non più difficile da individuare ed effettuarne il reverse. Lo skimmer ha preso di mira le installazioni vulnerabili di Magento; per questo si consiglia agli utenti di aggiornare il prima possibile il CMS all’ultima release disponibile.