IB-expert Eric Brandel a constatat că atacatorii abuzează de platforma Google Apps Script pentru a fura informații despre cardurile bancare pe care utilizatorii le oferă site-urilor E-commerce atunci când fac cumpărături online.
Hackerii folosesc domeniul în scopuri proprii script.google.com și astfel ascunde cu succes activitatea malware de soluții de protecție, precum și ocolind conținutul de securitate Policy (CSP). Faptul este că comercianții cu amănuntul on-line consideră, de obicei, domeniul Google Apps Script ca fiind de încredere și de multe ori pe lista albă, în general, toate subdomeniile Google.
Brandel spune că a găsit un script de skimmer bazat pe web, încorporat de intruși pe site-urile magazinelor online. Ca orice alt script MageCart, acesta interceptează informațiile de plată ale utilizatorilor.
De la alte soluții similare, acest script a distins faptul că toate informațiile de plată furate au fost transmise ca JSON în codificarea base64 în Google Apps Script și domeniul script [.]google[.com a fost folosit pentru a extrage date furate. Numai după aceea, informațiile au fost transmise domeniului de atac controlat[.]tech.
"Malware domeniu de analiză[.] tech a fost înregistrat în aceeași zi ca și domeniile malware detectate anterior de hotjar [.] gazdă și pixelm[."tech, care sunt găzduite în aceeași rețea", notează cercetătorul.
Trebuie spus că nu este prima dată când hackerii abuzează de serviciile Google în general și Google Apps Script în special. De exemplu, în 2017, a devenit cunoscut faptul că gruparea Carbanak utilizează serviciile Google (Google Apps Script, Google Sheets și Google Forms) ca bază pentru infrastructura C&C. De asemenea, în 2020, sa raportat că platforma Google Analytics este, de asemenea, abuzată pentru atacurile de tip MageCart.
Niciun comentariu: