Análise do Mongolian Skimmer: Uma Nova Ameaça Digital

Pesquisadores de segurança cibernética destacaram uma nova campanha de skimming digital que aproveita técnicas de ofuscação Unicode para ocultar um skimmer conhecido como Mongolian Skimmer.

Ofuscação e Complexidade do Código

“À primeira vista, o que se destacou foi a ofuscação do script, que parecia um pouco bizarra devido a todos os caracteres acentuados,” afirmaram os pesquisadores da Jscrambler em uma análise. “O uso intenso de caracteres Unicode, muitos deles invisíveis, torna o código muito difícil de ler para humanos.”

O script, em sua essência, utiliza a capacidade do JavaScript de usar qualquer caractere Unicode em identificadores para ocultar a funcionalidade maliciosa.

Objetivos Maliciosos do Skimmer

O objetivo final do malware é roubar dados sensíveis inseridos em páginas de checkout de e-commerce ou administrativas, incluindo informações financeiras, que são então exfiltradas para um servidor controlado pelo atacante.

Operação e Evasão de Análise

O skimmer normalmente se manifesta na forma de um script inline em sites comprometidos que busca a carga útil real de um servidor externo. Ele também tenta evadir análises e esforços de depuração desativando certas funções quando as ferramentas de desenvolvedor de um navegador são abertas.

“O skimmer usa técnicas bem conhecidas para garantir compatibilidade entre diferentes navegadores, empregando técnicas de manipulação de eventos modernas e legadas,” disse Pedro Fortuna, da Jscrambler. “Isso garante que ele possa atingir uma ampla gama de usuários, independentemente da versão de seu navegador.”

Carregamento Condicional do Skimmer

A empresa de proteção e conformidade do lado do cliente também observou o que descreveu como uma variante de carregador “incomum” que carrega o script do skimmer apenas em instâncias onde eventos de interação do usuário, como rolagem, movimentos do mouse e touchstart, são detectados.

Essa técnica, segundo os pesquisadores, pode servir tanto como uma medida eficaz anti-bot quanto uma forma de garantir que o carregamento do skimmer não cause gargalos de desempenho.

Colaboração entre Atacantes

Um dos sites Magento comprometidos para entregar o Mongolian skimmer também é dito ter sido alvo de um ator de skimming separado, com os dois grupos de atividade aproveitando comentários de código-fonte para interagir entre si e dividir os lucros.

“50/50 talvez?,” comentou um dos atores de ameaças em 24 de setembro de 2024. Três dias depois, o outro grupo respondeu: “Concordo 50/50, você pode adicionar seu código :)”.

Então, em 30 de setembro, o primeiro ator de ameaças respondeu, afirmando: “Tudo bem) então como posso contatá-lo? Você tem conta no exploit? [sic]”, provavelmente referindo-se ao fórum de cibercrime Exploit.

Técnicas de Ofuscação

“As técnicas de ofuscação encontradas neste skimmer podem ter parecido a um olho não treinado como um novo método de ofuscação, mas não foi esse o caso,” observou Fortuna. “Ele usou técnicas antigas para parecer mais ofuscado, mas são tão fáceis de reverter como antes.”

#Cibersegurança, #Skimming, #MongolianSkimmer, #Ofuscação, #Malware, #Ecommerce, #SegurançaDigital

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/cybercriminals-use-unicode-to-hide.html