Comment se protéger contre les attaques Magecart?

Qu'est-ce que Magecart?

Nous vous avons déjà parlé de la nécessité de sécuriser correctement vos boutiques en ligne dans cet article sur la sécurité du commerce électronique. Vous trouverez ici plus d’informations sur l’un des types d’attaque les plus dangereux, Magecart, qui touche principalement les sites web de commerce électronique.

Vous souhaitez avoir une compréhension approfondie de tous les aspects modernes de Magecart? Lisez attentivement cet article et ajoutez-le à vos favoris pour y revenir plus tard, nous mettons régulièrement cette page à jour.

Les pirates informatiques Magecart ciblent généralement les boutiques en ligne développées avec le CMS Magento et visent à voler les informations de carte de crédit des clients. Ce type d'attaque est également connu sous le nom d'attaque de la chaîne d'approvisionnement, de web skimming ou d'e-skimming. Le code JavaScript injecté dans le code pendant l'attaque est également appelé Magecart.

Les experts en cybersécurité ont remarqué l'activité de ce groupe criminel pour la première fois en 2010, bien que Magecart ne soit devenu largement connu que récemment. Sur plus de 10 ans d'observation, l'attaque Magecart a été détectée environ 2 millions de fois. Au total, depuis 2010, Magecart est responsable du piratage de plus de 18 000 hôtes. Pour diffuser leur code malveillant, les criminels ont utilisé 573 domaines avec environ 10 000 liens de téléchargement contenant le malware Magecart.

Aujourd'hui, les chercheurs signalent une nouvelle série d'attaques Magecart. Les criminels ont changé de tactique et automatisé leurs attaques. Ils recherchent désormais des buckets mal configurés, infectant tous les sites web et fichiers JavaScript auxquels ils peuvent accéder.

Depuis avril 2019, les cybercriminels ont compromis plus de 17 000 domaines en publiant du code JavaScript (également appelé «skimmers») sur ces sites web. Les ressources vulnérables hébergeaient du contenu lié aux services d'urgence et aux forums de discussion pour les pompiers, la police et les professionnels de la sécurité.

Selon Computerweekly, pendant la pandémie de COVID-19, les attaques Magecart contre les détaillants en ligne ont augmenté de 20 %.

Qui est victime des attaques Magecart?

En 2018, la société britannique de billetterie Ticketmaster a subi une attaque Magecart notable. Les criminels ont introduit un skimmer via le widget d'assistance client.

Plus tard, un script malveillant a été trouvé dans les produits d'autres fournisseurs. Au total, plus de 800 boutiques en ligne et environ dix mille utilisateurs ont été victimes de Magecart.

En 2019, les acteurs de l'attaque Magecart ont exploité une mauvaise configuration de buckets Amazon S3 pour infecter plus de 17 000 sites web. Les cybercriminels ont scanné le web à la recherche de stockages S3 mal configurés hébergeant des documents JavaScript, et ont déployé un script malveillant pour injecter le skimmer.

Les nouvelles attaques contre les sites de commerce électronique sont généralement similaires aux précédentes attaques Magecart, mais elles sont menées par un groupe relativement nouveau, que les experts ont nommé Magecart Group 12. Au total, ils ont attaqué 277 services liés à la réservation de billets d’avion, aux boutiques en ligne de cosmétiques et de vêtements, etc.

En plus du code JavaScript, les spécialistes ont également découvert un code supplémentaire appelé jqueryapi1oad. Les criminels l'ont utilisé lors d'une longue campagne malveillante qui a débuté en avril 2019. Le code installe des vérifications pour les bots, définit le cookie jqueryapi1oad avec une date d'expiration basée sur les résultats de l'analyse, et crée également un élément DOM sur la page.

Ensuite, un code JavaScript supplémentaire est téléchargé, qui, à son tour, charge un cookie associé au Traffic Distribution System (TDS) afin de rediriger le trafic vers des publicités frauduleuses dans le cadre de la campagne malveillante HookAds.

Les analystes estiment qu’un script malveillant fonctionne en moyenne pendant environ vingt jours. Cependant, il arrive parfois qu’un skimmer reste sur la page web pendant des années, volant les enregistrements du trafic du site web. Certains groupes criminels Magecart ont utilisé le kit Inter Skimmer, acheté via le Dark Web depuis plus d’un an.

Cela signifie donc que, en théorie, toute boutique en ligne peut être exposée au risque d'attaque Magecart !

Il arrive très souvent que les données volées sur des sites web soient vendues via le Dark Web. Vous pouvez désormais vérifier gratuitement si les données de votre site web sont en vente grâce au ImmuniWeb Domain Security Test.

Comment fonctionne une attaque Magecart?

Comme nous l'avons déjà mentionné, Magecart se propage principalement via du code JavaScript malveillant injecté dans des plugins ou des extensions téléchargeables pour les boutiques en ligne Magento. Récemment, les attaquants ont commencé à utiliser des bannières publicitaires pour diffuser des skimmers. Selon les chercheurs, près d'un cinquième de toutes les publicités malveillantes sur le net intègrent des scripts d'attaque Magecart.

Bien que les hackers infectent souvent des sites qui ne sont pas du tout des boutiques en ligne et ne disposent même pas de pages de paiement, les experts affirment qu'en mettant l'accent sur le nombre d'attaques, les attaquants ont réussi à injecter des skimmers dans un nombre suffisant de pages de paiement. Il est rapporté que parmi les victimes figuraient des entreprises fournissant des services à d'autres sites, l'infection de plusieurs fichiers JS ayant entraîné la propagation du logiciel malveillant sur des milliers d'autres ressources.

En 2019, lors d'une attaque fulgurante, des cybercriminels ont piraté près de 1 000 sites web de commerce électronique en seulement 24 heures, prouvant qu'ils n'ont pas agi manuellement, mais ont plutôt utilisé des outils automatisés. La plupart des ressources touchées étaient de petites boutiques en ligne, bien qu'il y ait également plusieurs grandes entreprises parmi elles.

Le script de skimming a été utilisé pour voler des informations aux visiteurs de boutiques en ligne, en particulier les données de leurs cartes bancaires, leurs noms, leurs numéros de téléphone et leurs adresses. Ensuite, le script enregistre toutes les données saisies sur les pages de paiement et les met en cache dans le navigateur jusqu'à ce que la victime rafraîchisse la page ou bascule vers un autre onglet. Les données volées sont ensuite envoyées à un serveur contrôlé par des cybercriminels.

Comment se protéger contre Magecart?

Pour protéger votre entreprise contre les attaques Magecart, dressez un inventaire complet de vos actifs numériques à l'aide de ImmuniWeb Discovery. Il détecte toutes les applications web et mobiles possibles, attribue une note de sécurité à chacune d'elles et indique les applications critiques à corriger. De plus, il peut rechercher sur le Dark Web, les stockages cloud et les dépôts de code toutes les fuites de données possibles.

Cette approche de Attack Surface Management et Dark Web Monitoring vous permet d'obtenir une vue d'ensemble complète de l'état de sécurité de votre système numérique.

Après un inventaire complet, vous pouvez passer aux tests de pénétration optimisés par l'IA qui protègent votre organisation contre toutes les menaces de sécurité, y compris les attaques Magecart et les autres méthodes d'attaque les plus modernes que les cybercriminels inventent constamment.

Ressources supplémentaires

• En savoir plus sur la gestion des surfaces d'attaque basée sur l'IA avec ImmuniWeb^® Discovery
• En savoir plus sur les tests de pénétration des applications basés sur l'IA avec ImmuniWeb
• En savoir plus sur les opportunités du programme de partenariat ImmuniWeb
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp