Исследователи по кибербезопасности из Source Defense выявили масштабную кампанию цифрового скимминга, использующую блокчейн Ethereum в качестве инфраструктуры командования и управления. Злоумышленники используют умные контракты Ethereum для управления вредоносной инфраструктурой вместо традиционных хостинг-провайдеров, что позволяет быстро менять серверы и домены. Такой подход значительно усложняет работу команд безопасности и правоохранительных органов по отключению инфраструктуры с помощью обычных процедур.
Злоумышленники развернули более 15 умных контрактов Ethereum для управления инфраструктурой
Исследователи обнаружили более 15 умных контрактов Ethereum, поддерживающих скоординированную кампанию цифрового скимминга, нацеленного на платформы онлайн-шопинга. В ходе расследования выяснилось, что в кампании задействованы несколько группировок инфраструктуры и десятки связанных доменов. После активации вредоносное ПО разворачивает продвинутый скиммер для платежей, способный перехватывать процессы оформления заказа онлайн.
В отличие от обычных атак Magecart, которые внедряют вредоносные домены прямо в скомпрометированные сайты, эта кампания хранит информацию о маршрутизации внутри умных контрактов Ethereum. Скомпрометированные сайты запрашивают активные детали инфраструктуры из блокчейна перед загрузкой второго этапа вредоносного кода. Сообщается, что вредоносное ПО заменяет легитимные интерфейсы оплаты на убедительные копии, предназначенные для сбора данных платежных карт, личной информации и данных устройств клиентов, а затем передает украденную информацию злоумышленникам.
Этот децентрализованный подход позволяет злоумышленникам изменять инфраструктуру без изменения вредоносного кода, встроенного в зараженные сайты, что повышает операционную гибкость и снижает вероятность обнаружения. Source Defense отметил, что инфраструктура на базе блокчейна дает киберпреступникам эффективный способ обхода традиционных средств защиты, поскольку у правоохранительных органов нет централизованного хостинг-провайдера, на которого можно оказать давление для удаления вредоносных сервисов.
Кампания обходится мерам безопасности PCI DSS 4.0
Исследователи указали, что злоумышленники разработали методы, позволяющие обходить традиционные меры безопасности платежей, что демонстрирует ограничения при полном доверии стандарту PCI DSS 4.0. Организации, обрабатывающие данные платежных карт, должны соблюдать требования PCI DSS 4.0, включая многофакторную аутентификацию в средах с данными держателей карт. Однако исследователи отметили, что новые техники атак позволяют обходить некоторые защиты и рекомендации стандарта.
Стивен Уорд, директор по маркетингу в Source Defense, заявил, что многие организации еще не полностью внедрили PCI DSS 4.0, несмотря на его обязательный статус для продавцов, обрабатывающих данные платежных карт. Он отметил, что соблюдение может варьироваться, поскольку организации, отвечающие за контроль соответствия, часто имеют коммерческие отношения с продавцами, что снижает их готовность применять строгие меры.
В отчете подчеркивается, что безопасность на стороне клиента продолжает получать недостаточное внимание. По мнению исследователей, несогласованное внедрение мер защиты и акцент на соблюдении нормативных требований, а не на комплексной кибербезопасности, оставляют многие платформы электронной коммерции уязвимыми для все более изощренных атак.
Инфраструктура на базе блокчейна повышает устойчивость к атакам
Децентрализованный характер блокчейн-сетей создает дополнительные сложности для специалистов по кибербезопасности, пытающихся прервать текущие атаки. Уорд отметил, что команды безопасности должны подготовиться к более широкому использованию блокчейн-технологий киберпреступниками. Он указал, что по мере интеграции платформ блокчейн в вредоносные операции, атаки станут более частыми и сложными, что значительно усложнит их пресечение.
Хотя степень использования киберпреступниками инфраструктуры на базе блокчейна остается неопределенной, исследователи предположили, что усиление международного сотрудничества правоохранительных органов может стимулировать злоумышленников мигрировать к децентрализованным технологиям, более устойчивым к отключению. Они отметили, что развитие искусственного интеллекта может со временем улучшить выявление вредоносной инфраструктуры, однако предупредили, что в ближайшем будущем злоумышленники продолжат использовать анонимность и устойчивость блокчейн-платформ.
Результаты показывают, что децентрализованная инфраструктура на базе блокчейна может сделать будущие киберпреступные операции более устойчивыми, вынуждая команды безопасности применять более продвинутые методы обнаружения, включая ИИ для анализа угроз.
FAQ
Что обнаружили исследователи Source Defense о кампании скимминга Magecart?
Исследователи Source Defense выявили масштабную кампанию цифрового скимминга, использующую более 15 умных контрактов Ethereum в качестве инфраструктуры командования и управления. Кампания нацелена на платформы онлайн-шопинга и использует блокчейн для управления вредоносной инфраструктурой, что позволяет злоумышленникам быстро менять серверы и домены, избегая традиционных процедур отключения.
Как эта кампания обходится мерам безопасности PCI DSS 4.0?
Исследователи указали, что злоумышленники разработали методы, позволяющие обходить стандартные меры защиты платежей, установленные PCI DSS 4.0. Вредоносное ПО заменяет легитимные интерфейсы оплаты на копии, предназначенные для сбора данных платежных карт, личной информации и данных устройств. Исследователи отметили, что новые техники атак демонстрируют возможность обхода некоторых защит и рекомендаций стандарта, что подчеркивает ограничения при полном доверии только соблюдению.
Почему инфраструктура на базе блокчейна сложна для отключения властями?
Инфраструктура на базе блокчейна не имеет централизованного хостинг-провайдера, на которого можно оказать давление для удаления вредоносных сервисов. Децентрализованный характер сетей создает дополнительные сложности для специалистов по кибербезопасности, пытающихся прервать атаки. Злоумышленники могут изменять инфраструктуру без изменения вредоносного кода в зараженных сайтах, что повышает операционную гибкость и снижает вероятность обнаружения.
