Ранее на этой неделе стало известно, что за атакой на сайт и мобильное приложение авиакомпании British Airways, повлекшей за собой утечку финансовых и личных данных 380 000 человек, стояла хакерская группа MageCart.
Теперь эксперты по информационной безопасности обнаружили еще одну жертву малвари MageCart, на этот раз пострадал сервис Feedify, позволяющий администраторам сайтов встраивать в свои ресурсы push-уведомления, интегрируя в код сайтов JavaScript-библиотеки Feedify.
Первым компрометацию заметил ИБ-специалист, известный в Twitter под псевдонимом Placebo, в начале этой недели он сообщил, что один из JavaScript-файлов компании (feedbackembad-min-1.0.js) содержит вредоносный код,который похищает платежные данные пользователей.
Magecart on Feedify. A customer engagement tool. According to there website 4000+ website use there tooling/code. Fixed today after I notified them.@ydklijnsma @GossiTheDog pic.twitter.com/K2czXkUoHD
— Placebo (@Placebo52510486) September 11, 2018
В настоящее время данные Placebo уже подтвердили специалисты компании RisqIQ и известный эксперт Кевин Бомонт (Kevin Beaumont). Хотя на официальном сайте компании сказано, что продуктом Feedify пользуются более 4000 клиентов, поиск через PublicWWW позволяет обнаружить только 250-300 сайтов с зараженной библиотекой. Исследователи RisqIQ сумели установить, что компрометация сервиса произошла еще 17 августа 2018, в 16:51:01 GMT.
Placebo уведомил разработчиков Feedify о проблеме 11 сентября 2018 года, и вредоносный код практически сразу был удален из вышеупомянутого файла. Однако атакующие не сдались. Меньше чем через сутки файл оказался заражен MageCart снова, а когда представители Feedify повторно удалили малварь, преступники инициировали заражение в третий раз. При этом представители компании не отвечают на вопросы экспертов и СМИ.
Напомню, что по данным специалистов вредоносная кампания MageCart активна как минимум с 2015 года (1, 2), и в ее рамках действует не одна хакерская группа, а сразу несколько групп, применяющих практически одинаковые тактики. К примеру, ранее группировка, которую эксперты RiskIQ отслеживают под именем MageCart, атаковала популярный виджет чатов, заразив его малварью для хищения карт. Именно это стало причиной утечки данных у компании TicketMaster, о которой стал известно в июне текущего года. Судя по всему, эта же группа, ответственна за атаку на British Airways.
