Egy pixeles képpel lopják a banki adatokat a csalók

​Egy pixeles képekkel érik el a csalók, hogy egyes webáruházak vásárlóitól értékes bankkártya adatokat lovasítsanak meg.
 

A Sansec biztonsági cég szakemberei olyan károkozásokra figyeltek fel, amelyek jelenleg a Magento és az Adobe Commerce webáruházakat sújtják. Az elkövetők a nemrégen napvilágra került PolyShell sérülékenységet igyekeznek a saját javukra fordítani, egy igen trükkös módszerrel észrevétlenül megszerezni a vásárlók bankkártya adatait.
 
A szóban forgó támadásokat világszerte már több mint 100 webáruház esetében lehetett kimutatni. Ezen incidensek kivizsgálása során a szakértők arra a megállapításra jutottak, hogy az elkövetők alapvetően egy mindössze egy pixeles SVG kép sérülékeny weboldalakba való befecskendezésével érik el a céljukat.
 
A speciálisan összeállított SVG állományt az érintett webáruház kompromittált weboldalának betöltésekor (onload esemény hatására) egy JavaScript "veszi kezelésbe". Ez egy base64 dekódolást követően végrehajtja az állományban lévő utasításokat, és gondoskodik arról, hogy amikor a felhasználó a kosárának kifizetése mellett dönt, akkor megjelenjen egy felugró ablak. Ebben látszólag az adott webáruház kéri be a bankkártya adatokat. A valóságban azonban az itt megadott adatok (egy Luhn ellenőrzést követően) a csalókhoz kerülnek kódolt formában.
 
A szakemberek felhívták a figyelmet arra, hogy a csalók mostani trükkje azért is nehezen detektálható, mert az SVG-s trükk miatt nincs szükség külső scriptek meghívására, amiket a különféle védelmi megoldások sok esetben figyelnek.
 
A Sansec szerint az ilyen típusú károkozások ellen elsősorban a webáruházak tulajdonosai, üzemeltetői, fejlesztői tehetnek a legtöbbet például azáltal, hogy rendszeresen integritásvizsgálatokat végeznek, illetve ellenőrzik a kéretlen SVG-állományokhoz kötődő kódok jelenlétét. Mindezek mellett nagyon lényeges, hogy amint megjelenik a Magento, illetve az Adobe Commerce frissítése, akkor az mihamarabb kerüljön telepítésre. (Jelenleg még nem érhető el minden verzióhoz a PolyShell ellenszere.)