Sansec-ը հայտնաբերել է 953 վարակված առցանց խանութ, մեծ մասը՝ Magento-ով աշխատող

Էլեկտրոնային առևտրի անվտանգության ոլորտում գործող Sansec ընկերության խոսքով՝ անհայտ հարձակվողը 2025-ի հուլիսից գործող արշավի ընթացքում վարակել է 953 առցանց խանութ, որոնց մեծ մասն աշխատում է Magento-ով։ Ներարկված կոդը տարբերակում է գնորդներին անվտանգության սկաներներից․ այցելուները ստանում են վնասաբեր կոդը, իսկ սկաներները՝ ոչինչ։

Sansec-ի բացահայտումների մասին հոկտեմբերի 26-ին The Hacker News-ի հրապարակած նյութում նշված է, որ արշավում կոդի առաքման համար օգտագործվող վերջին դոմենը՝ deepveindrilling[.]com-ը, հոկտեմբերի 6-ին գրանցվելուց ի վեր հայտնվել է 83 խանութի էջերի պահպանված բովանդակության մեջ։

Sansec-ի բացահայտումները՝ կոդի առաքման և սկաներներից խուսափելու մասին

Հարձակման համար օգտագործվում է Magento-ի բովանդակության կառավարման համակարգը՝ CMS-ը, որը պահպանում է խանութի էջերում բազմակի օգտագործման համար նախատեսված բովանդակության բլոկները։ Տվյալների բազայի cms_block աղյուսակում տեղադրվում է JavaScript-ով գրված փոքր բեռնիչ՝ այլ կոդ ներբեռնող կոդ։ Երբ վարակված բլոկը հայտնվում է էջում, գնորդի դիտարկիչը հրահանգներ ստանալու համար կապվում է հարձակվողի սերվերի հետ։

Sansec-ի խոսքով՝ պատասխանելուց առաջ սերվերը ստուգում է՝ այցելուն գնո՞րդ է, թե՞ անվտանգության սկաներ։ Բեռնիչի երկրորդ տարբերակը նաև ուսումնասիրում է դիտարկիչի հատկանիշները՝ բոտերն ու սկաներները զտելու համար։ Վերջին դոմենի դեպքում զտումն իրականացնում է հենց բեռնիչը, ոչ թե նախորդ տարբերակներում օգտագործված՝ այցելուների հարցումներն ուղղորդող առանձին ծառայությունը։

Բեռնիչի տարբերակներից մեկը ստացված կոդը պահպանում է localStorage-ում․ դիտարկիչի այս հնարավորությունը կայքին թույլ է տալիս տվյալներ պահել այցելուի սարքում նաև այցելությունների միջև ընկած ժամանակահատվածում։ Այդպես պահպանված կոդը կարող է նորից գործարկվել, երբ գնորդը վերադառնա, նույնիսկ եթե հարձակվողի արտաքին դոմենն այլևս հասանելի չլինի։ Վերջնական բեռնվածքի՝ բեռնիչից հետո առաքվող կոդի ճշգրիտ բնույթը մնում է անհայտ։