Nieuws
image

Webwinkel juweliersketen Cleor lekte creditcardgegevens

dinsdag 14 mei 2019, 15:27 door Redactie, 4 reacties

Aanvallers zijn er in geslaagd om kwaadaardige code aan de webwinkel van de Franse juweliersketen Cleor toe te voegen die creditcardgegevens van klanten naar criminelen stuurde. Cleor heeft 137 winkels in Frankrijk en verkoopt via de eigen webwinkels sieraden en juwelen.

Internetbedrijf Netcraft ontdekte op 10 april dat aanvallers kwaadaardige JavaScript-code aan de webshop hadden toegevoegd. Deze code werd naast een legitiem Facebook-trackingscript geplaatst en werd geladen vanaf een domein dat op het echte Cleor-domein leek. De aanvallers hadden dit domein speciaal voor deze aanval geregistreerd, aldus Netcraft. Creditcardgegevens die klanten op de betaalpagina van de webwinkel invoerden werden naar het geregistreerde domein gestuurd.

Het domein was sinds 10 januari van dit jaar geregistreerd. "Wat suggereert dat de aanval zorgvuldig is voorbereid of enige tijd actief is geweest", zegt Seth Hayward van Netcraft. Het bedrijf waarschuwde Cleor, waarna de kwaadaardige JavaScript-code werd verwijderd. Volgens Hayward had een Content-Security-Policy (CSP) header de aanval kunnen voorkomen. Hiermee kunnen websites aangeven dat er alleen content vanaf gewhiteliste domeinen wordt geladen. In dit geval zou de kwaadaardige JavaScript-code dan niet zijn uitgevoerd.

Image

Reacties (4)
14-05-2019, 16:51 door Anoniem
Volgens Hayward had een Content-Security-Policy (CSP) header de aanval kunnen voorkomen.
Dat zal wel, maar tegelijkertijd is dit "security" van het niveautje robots.txt. Het is hoe iedereen het doet maar dat wil niet zeggen dat het een goed idee is. Helaas hangt ongeveer het hele wereldwijde web aanelkaar van ideetjes met een makke.

Het interessante gedeelte is hoe de aanvallers toegang hebben weten te krijgen tot de pagina om hun eigen code er even tussen te frommelen. Maar daar zal wel helemaal niets over bekend zijn.
17-05-2019, 09:00 door Anoniem
Dat is in grote lijnen wel bekend. De aanvallers beschikken over een squatted typo domein en extraheren geladen urls voor info van bezoekers van check out pagina's en sturen die door naar een server onder hun controle. Dit lukt bij onvoldoende validatie tussen client en server en onvoldoende beveiliging van de client i.e. third party script blokkering. uMatrix of No Script.
luntrus
18-05-2019, 10:59 door Anoniem
88 lijntjes code en je hebt een heel mooi scanscript voor dit soort bedreigingen met reguliere expressie regels via obfuscated eval. Zo heeft Willem de G. dit op github staan. Er zijn oplossingen die men kan implementeren.
luntrus
19-05-2019, 14:06 door Anoniem
En waarom is CSP hier nog niet cloudbreed ingesteld?
Zie: https://observatory.mozilla.org/analyze/cdnjs.cloudflare.com
Een D-status is hier echt te weinig.
Content Security Policy (CSP) implemented unsafely.

This includes 'unsafe-inline' or data: inside script-src, overly broad sources such as https: inside object-src or script-src, or not restricting the sources for object-src or script-src.
en hier komt men dus bij Cliudflare niet verder dan een mager C-tje,
zie: https://tls.imirhil.fr/https/cdnjs.cloudflare.com

Zij doen dus echt niet meer, dan waar ze mee hopen weg te komen?

Niet de laatste webshop site dus, die in de toekomst op Cloudflare gehackt gaat worden via form-jacking,
daar kunnen we wel van op aan zo onderhand. Schandalig eigenlijk, folks.

luntrus
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search