Investigadores de ciberseguridad han descubierto una nueva campaña de skimmer digital que aprovecha las técnicas de ofuscación Unicode para ocultar un skimmer denominado Mongol Skimmer.
«A primera vista, lo que destacó fue la confusión del guión, que parecía un poco extraño debido a todos los personajes con acento», dijeron los investigadores de Jscrambler. dicho en un análisis. «El uso intensivo de caracteres Unicode, muchos de los cuales son invisibles, hace que el código sea muy difícil de leer para los humanos».
El guión, básicamente, resultó explotar Capacidad de JavaScript utilizar cualquier carácter Unicode en los identificadores para ocultar la funcionalidad maliciosa.
El objetivo final del malware es robar datos confidenciales ingresados en las páginas de administración o de pago del comercio electrónico, incluida información financiera, que luego se filtra a un servidor controlado por un atacante.
El skimmer, que normalmente se manifiesta como un script en línea en sitios comprometidos que recupera la carga útil real de un servidor externo, también intenta evadir los esfuerzos de escaneo y depuración desactivando ciertas funciones cuando el navegador web herramientas de desarrollo está abierto.
«El skimmer utiliza técnicas bien conocidas para garantizar la compatibilidad entre navegadores mediante el empleo de técnicas de manejo de eventos modernas y heredadas», dijo Pedro Fortuna de Jscrambler. «Esto garantiza que pueda dirigirse a una amplia gama de usuarios, independientemente de la versión de su navegador».
La compañía de cumplimiento y protección del lado del cliente dijo que también observó lo que describió como una variante del cargador «inusual» que carga el script skimmer sólo en los casos en que ocurren eventos de interacción del usuario como desplazamiento, movimientos del mouse y toque inicio son detectados.
Esta técnica, añade, podría servir como una medida eficaz contra los robots y como una forma de garantizar que la carga del skimmer no provoque cuellos de botella en el rendimiento.
Uno de los sitios de Magento comprometidos para entregar el skimmer mongol también fue atacado por un actor skimmer separadolos dos grupos de actividades aprovechan los comentarios del código fuente para interactuar entre sí y dividir las ganancias.
«¿Quizás 50/50?», comentó uno de los actores de la amenaza el 24 de septiembre de 2024. Tres días después, el otro grupo respondió: «Estoy de acuerdo 50/50, puedes agregar tu código :)».
Luego, el 30 de septiembre, el primer actor de amenazas respondió diciendo: “Muy bien, entonces, ¿cómo puedo comunicarme con usted? ¿Tienes acceso a un exploit? [sic]», probablemente refiriéndose al foro Exploit sobre cibercrimen.
«Las técnicas de ofuscación encontradas en este skimmer pueden haber parecido a un ojo inexperto un nuevo método de ofuscación, pero ese no fue el caso», señaló Fortuna. «Utilizó técnicas antiguas para parecer más oscuro, pero son igualmente fáciles de revertir».
