Criminelen skimmen creditcards bij 5900 gehackte webwinkels
Wereldwijd zijn er meer dan 5900 gehackte webwinkels waar criminelen de creditcardgegevens van klanten stelen die afrekenen, waaronder minstens 250 Nederlandse webshops. Terwijl het traditionele skimmen van pinpassen afneemt lijkt het aantal gevallen van online skimming juist toe te nemen.
Dat ontdekte de Nederlandse beveiligingsonderzoeker Willem de Groot. De criminelen hacken de webwinkel en voegen vervolgens kwaadaardige code toe, zonder dat de eigenaren dit doorhebben. Zodra een klant afrekent worden zijn creditcardgegevens en andere persoonlijke informatie naar de criminelen gestuurd, die hier vervolgens mee kunnen frauderen. Volgens De Groot weten de criminelen de webwinkels te hacken via kwetsbaarheden die niet door de eigenaren zijn gepatcht, ook al zijn beveiligingsupdates voor de problemen al geruime tijd beschikbaar.
Vorig jaar november deed De Groot al onderzoek naar online skimming en ontdekte toen 3500 gehackte winkels. Tien maanden later is de teller inmiddels de 5900 gepasseerd. Het gaat onder andere om 250 webwinkels eindigend op .nl. Mogelijk zijn er meer Nederlandse webwinkels gehackt, aangezien Nederlandse shops ook andere extensies kunnen gebruiken. Tenminste 159 gehackte webwinkels draaien op Magento Enterprise Edition, software die alleen door grote webwinkels wordt gebruikt.
Verder bleek dat 754 gehackte webwinkels al sinds vorig jaar zijn gehackt en er nog altijd creditcardgegevens worden gestolen. "Klaarblijkelijk kun je maandenlang ongestoord creditcards skimmen", aldus de Nederlander. De Groot waarschuwde verschillende webwinkels, maar die reageerden onwetend en onverschillig. Zo liet één webwinkel weten dat de shop veilig was omdat er https werd gebruikt. Inmiddels heeft De Groot een lijst van de ruim 5900 gehackte webwinkels online gezet.
http://www.thememo.com/2016/09/27/oberthur-technologies-societe-generale-groupe-bpce-bank-this-high-tech-card-is-being-rolled-out-by-french-banks-to-eliminate-fraud/
https://www.security.nl/posting/488028/Roterende+CVV-code+Creditcard
ik heb die lijst eens bekeken, en de meeste zijn zo klein dat ze waarschijnlijk nog nooit van het College Bescherming Persoonsgegevens hebben gehoord.
En ook ontbreekt er vaak monitoring van wat er gebeurt.
Kik hier eens voor een willekeurig voorbeeld: https://sitecheck.sucuri.net/results/www.jomso.com
Bij deze scan wordt deze Magento hack compleet gemist.
Je zal er maar voor betaald hebben om je site te laten bewaken door Sucuri.
Goed werk van Willem de Groot, overigens, hulde - hulde - hulde!
Bovenstaand willekeurig voorbeeld van zijn webshop websitelijst eens even door Redleg's Fileviewer gehaald.
Dan komen er nogal wat kwetsbaarheden boven drijven en wordt ook het kwaadaardige geobfusceerde script
in kwestie getraceerd.
Het zwaar geobfusceerde script vanaf lijn 1509 wordt aangegeven als een mogelijke Magento hack:
And as we see with this hack it comes heavily obfuscated. jsunpack ->
"line:4: SyntaxError: missing ; before statement:
error: line:4: Note: This block of obfuscated script looks suspicious."
1. Ik en anderen worden nu bestookt met email van derde partijen die het probleem wel even op kunnen lossen (al dien niet met een dreigende toon).
2. Ik zie dat de heer Willem de Groot de lijst wel degelijk aanpast (of laat aanpassen) echter zeer selectief. De domeinen gehost door Byte.nl worden namelijk successievelijk van deze lijst verwijderd.
Ja niet iedereen in beveiligingsland werkt onbevooroordeeld en wie wil niet voor eigen parochie preken?
Of je bent onbevooroordeeld, onafhankelijk, vrijwilliger, amateur, g33k, ergens fanboy van, of platform lid
....of je bent commercieel ingesteld.
De schoorsteen zal bij de heer Willem de Groot ook moeten blijven roken,
zeker nu we binnen een aantal jaren een nieuwe ijstijd hebben te verwachten. ;)
Dus hij zet zichzelf en zijn bedrijf zo in de schijnwerpers en
doet aan acquisitie met als beloning van de lijst af te komen.
Ieder neemt trouwens zijn onderzoek-linkjes over.
Slim online zakenmannetje dus.
Uw webshop site kan u laten scannen via Fetch: http://fetch.scritch.org/%2Bfetch/?url=http%3A%2F%2Feverstylish.com&useragent=Fetch+useragent&accept_encoding=
Een random voorbeeld van een Magento webshop site.
Malware gedetecteerd: https://www.hybrid-analysis.com/sample/8632db958d3d24a21551e80597ccc5672c924794407d973795dd3519339a3330?environmentId=100
Zie ook deze "neutrale" scanner infovan Redleg: https://aw-snap.info/file-viewer/?tgt=http%3A%2F%2Feverstylish.com&ref_sel=GSP2&ua_sel=ff&fs=1
En om te zien hoeverre de beveiliging van deze site in het geding is,
komen toch weer uit bij een scansite van dit Byte.nl bedrijf,
namelijk op MageReport dot com bij: https://www.magereport.com/scan/?s=http://everstylish.com/
Maar er zijn nog andere bedrijven die uw site willen helpen met de beveiligingsproblemen
en voor u willen monitoren, maar de gratis Mage rapporten zijn een goed initiatief.
Maar steek de hand is in eigen boezem. Ga u verdiepen in website beveiliging, lees over protocollen, javascript onveiligheid, security headers, genereer SRI hashes, begin aan CSP, vermijdt excessieve server header proliferatie, exploits, XSS, clickjacking enz. enz.
Er gaat een wereld voor u open. We hebben trouwens hier allemaal onze stack tabelletjes moeten maken.
Of zoek iemand die dat allemaal al weet en u kan helpen.
Onze sites zijn schoon en doorlopen alle tests met glans.
Vanwege welk beveiligingsrisico belandde u dan op deze door u zo gewraakte "Willem G.-lijst".
Is dit risico nu ondervangen? Is alles "same origin" nu? Is de content beveiligd?
Op verzoek moeten scangegevens kunnen worden verwijderd of
moet u expliciet schriftelijk toestemming gegeven hebben voor een dergelijke scanpublicatie.
Veel scan sites vragen ook netjes of de scan uitslagen in de hal of shame of de hal of fame mogen worden geplaatst.
Trouwens als een reden voor een blokkering is vervallen, wordt uw website toch ook gedeblokkeerd.
Het gaat er maar om dat de site niet gevaarlijk blijft. Beter ten halve gekeerd dan ten hele gedwaald.
Ik denk dat er met de door uw gewraakte lijst ook niet helemaal ethisch wordt omgesprongen.
Maar dat terzijde. Niet zo professioneel en misschien niet zo op de hoogte met hoe het eigenlijk zou moeten,
maar "uitgekookt" van opzet.
Als ik bijvoorbeeld een dazzlepod ip scan doe voor een bepaald ip, mag ik de scan gegevens wel zelf zien, maar niet delen met anderen, die ze zouden kunnen misbruiken. Sommige SSL scansites hebben ook een dergelijke policy.
Bij WOT rapportjes mag ik bijvoorbeeld geen live (scan) links geven.
Doe ik het wel, krijg ik gelijk op mijn tengels van de webreputatie tool moderator.
Er is nu een nieuwe lijst: https://github.com/gwillem/ecommerce-malware-collection/tree/master/js
Nieuwe link, waar de lijst wordt bijgehouden: https://github.com/gwillem/ecommerce-malware-collection/tree/master/js
Check hier met de Magento security scanner: https://www.magereport.com/scan/?s=
(scandienst is ook van Willem de Groot's Byte B.V.).
De lijst heeft een duidelijk commercieel doel, namelijk potentieel onveilige webshop sites support geven
via het bedrijf van de lijst samensteller, Byte B.V.'s Willem de Groot.
F-Secure meldde t.a.v. van zijn vorige Github lijst, de nieuwe is nu ondergebracht bij Gitlab:
=============================================================
We have finished analyzing the submitted URLs, and 176 of the provided URLs have been found to be malicious, for which the appropriate ratings have been added. The updated ratings shall be reflected automatically via Security Cloud otherwise known as ORSP.
==============================================================
1. Plaatsing had geen commercieel doel, daarom gebeurde het op persoonlijke titel en niet via mijn bedrijf. NB. Mijn bedrijf doet helemaal geen webshop onderhoud.
2. De melding van F-Secure hierboven (bron?) vind ik nogal verontrustend. Ik heb enkele honderden vragen ontvangen en geen enkele vermelding bleek een false positive te zijn. Op het moment van schrijven (30 okt) zijn er nog steeds 4071 sites die kwaadaardige javascript bevatten.
Zie voor laatste update: https://gitlab.com/gwillem/public-snippets/snippets/28813
Zie voor discussie over de ethiek van publicatie: https://news.ycombinator.com/item?id=12712648
Velen hier zullen dit op prijs stellen.
Er zijn dus nog mensen met het juiste beveiligingshart op de juiste plek.
Verschillende beveiligingsplatformen hebben de weg naar uw lijst
en ook de weg naar de MageReport dot com scanner gevonden.
Dank, dank daarvoor!
Wat ik persoonlijk zo goed vind aan uw initiatief, is dat u de manco's en blinde hoeken
bij scanners als Sucuri's en die van Bruce Jackson bijvoorbeeld,
wat betreft het ontdekken van magento kwetsbaarheden en infecties duidelijk hebt blootgelegd.
Er wordt nauwelijks specifiek op CMS gescanned bij algemene zgh. page scans.
Uitzonderingen als hackertarget dot com en retire insecurity today (jQuery) daargelaten.
Zo mis ik bij scans nogal eens scans op cloaking en zgn. best practices.
Men gaat in navolging van AV vaak uit van de situatie waar het kalf al verdronken is en
niet hoe men de put kan dempen- zodat het kalf niet kan verdrinken!
Maar ja dan jaag je tegenwoordig 50% van de website administratie in de gordijnen
of beschouwen ze je als hun persoonlijke vijand omdat de baas iets te weten kan komen
betreffende hun kennelijke incompetentie en falen, die worden aangetoond.
luntrus
P.S. Ook goed die aandacht voor de visbot infectie golf. ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
(Senior) Threat analist cybersecurity
Nationaal Cyber Security Centrum
Het Nationaal Cyber Security Centrum (NCSC) heeft een missie: de Nederlandse samenleving weerbaarder maken in het digitale domein. In deze dynamische werkomgeving is het aan jou als (senior) threat analist om digitale dreigingen te analyseren en duiden, zodat voor Nederland vitale organisaties passende veiligheidsmaatregelen kunnen treffen.
IT-security-officer
Nederlands Forensisch Instituut
Het Nederlands Forensisch Instituut levert kwalitatief hoogwaardige forensische diensten. Een veilige IT-omgeving is daarbij essentieel. Bij ons houd jij je als IT-security-officer bezig met een breed gebied op het vlak van security. In ons team krijg jij heel afwisselend werk, waarbij je echt op hoog niveau nadenkt over securityvraagstukken.