Au cours de l'année passée, notre SOC (Security Operations Center) a géré un nombre important d'incidents liés à des attaques Magecart, ciblant principalement des boutiques en ligne au Benelux.
Plusieurs analyses de rétro-ingénierie avaient déjà été partagées en interne, mettant en lumière la sophistication de ces menaces. Dans cet article, nous vous présentons deux cas concrets. Ceux-ci démontrent comment un morceau de code malveillant peut être réutilisé et dissimulé à plusieurs niveaux, révélant ainsi la complexité des attaques Magecart.
Que sont les attaques Magecart ?
Les attaques Magecart sont des attaques cybernétiques qui ciblent principalement les boutiques en ligne dans le but d'exfiltrer des données sensibles. Ces attaques, souvent qualifiées de Formjacking ou Web Skimming, visent à dérober des informations sensibles que les utilisateurs saisissent par des formulaires en ligne, notamment les données de cartes de crédit. Elles doivent leur nom au groupe de pirates tristement célèbre Magecart, qui a commencé à cibler de grandes marques vers 2015 [1].
L'attaque se déroule généralement en deux phases:
- Dans un premier temps, l'attaquant exploite un site web vulnérable, souvent une plateforme de commerce électronique, pour y injecter du code JavaScript malveillant.
- Dans un second temps, ce code parcourt le contenu de la page à la recherche de données sensibles, telles que les informations de carte bancaire. Les données volées sont ensuite exfiltrées vers un serveur contrôlé par l'attaquant, où elles peuvent être revendues sur le dark web [3].
La détection des attaques Magecart est particulièrement complexe, car il s'agit d'attaques côté client. Le code malveillant, souvent obscurci, est généralement intégré au sein de code légitime, ce qui le rend difficile à repérer. Dans certains cas, le script de l’attaquant n’est même pas présent lors du chargement initial de la page : il est alors récupéré dynamiquement depuis un domaine externe. Ces attaques peuvent ainsi passer inaperçues pendant de longues périodes, causant des dommages importants entre-temps.
Vecteurs d'infection
Pour qu’un site soit infecté, une première intrusion dans la boutique en ligne est nécessaire.
Cette section présente brièvement les vecteurs d’infection les plus fréquents.
» Lire la suite*
*Suite de l'article en anglais
Notes de terrain du SOC - 2- Magecarting hante encore aujourd'hui les commerces en ligne