信用卡信息被窃取?随机WordPress插件遭感染可能是原因之一!

阅读量149812

发布时间 : 2021-12-11 10:00:12

x
译文声明

本文是翻译文章,文章原作者 Bill Toulas,文章来源:BleepingComputer

原文地址:https://www.bleepingcomputer.com/news/security/hackers-infect-random-wordpress-plugins-to-steal-credit-cards/

译文仅供参考,具体内容表达以及含义原文为准。

 

正所谓道高一尺魔高一丈,如今的信用卡信息窃取手段令人防不胜防。

你知道吗?现在竟然有这样一种方法,信用卡刷卡器(Credit card swipers)被注入电子商务WordPress网站的随机插件中,在窃取客户付款详细信息的同时还能隐藏起自己而免受检测。

如今,随着圣诞节购物季的如火如荼,窃卡者活跃于通过stealthy skimmers感染在线电商。最新的趋势是将恶意脚本注入WordPress插件文件中,从而避免受到密切监控的“wp admin”“wp includes”核心目录。

 

大隐隐于市

根据Sucuri一份新的报告,执行信用卡盗窃的黑客首先入侵WordPress网站,并向网站注入后门以实现其持久化。这些后门允许黑客保留对网站的访问权,哪怕管理员已经安装了WordPress或打了补丁。这样一来,当攻击者以后使用后门时,它就会扫描管理员的用户列表,并使用他们授权cookie和当前用户登录来访问站点。

网站文件上的后门注入(资料来源:Sucuri)

在此之后,入侵者会将其恶意代码添加到随机插件中,根据Sucuri的说法来看,许多脚本甚至并没有混淆。

插件上未混淆的代码添加(资料来源:Sucuri)

然而,在检查代码时,分析人员注意到一个图像优化插件不仅包含对WooCommerce的引用,还包含未定义的变量。该插件并没有漏洞,有可能是由入侵者随机选择的。

通过使用PHP“get_defined_vars()Sucuri发现其中一个未定义的变量引用了德国服务器上托管的域。该域名没有链接到他们正在调查的受损网站,而该网站正在北美开展业务。

同一个站点在404页面插件上进行了第二次注入,该插件使用了相同的方法在未混淆的代码中隐藏变量,从而保存实际的信用卡浏览器。

在本案例中,它的“$thelist”“$message”变量用于支持恶意软件。前者引用接收URL,后者使用“file_get_contents()以获取支付的详细信息。

变量支持略读功能(资料来源:Sucuri)

 

如何防范

管理员可以采取多种保护措施,使他们的网站没有恶意脚本或尽可能地减少被感染的时间。

首先,wp-admin应仅限于特定IP地址。在这种情况下,即使注入了后门、窃取了管理员cookie,攻击者也无法访问该站点。

其次,为了及时发现问题,网站应该通过主动服务器端扫描程序的文件完整性监视机制。

最后,养成看日志和深入了解细节的良好习惯。例如,文件更改、主题或插件更新总会反映在日志中。

本文翻译自BleepingComputer 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66