Nova variante de ataque Magecart
Uma nova variante de ataque Magecart foi identificada, que utiliza a infraestrutura de pagamento Stripe e o Google Tag Manager (GTM) para distribuir skimmers e exfiltrar dados de cartões de crédito. Os pesquisadores da Sansec descobriram que os atacantes estão armazenando o código malicioso nos metadados de clientes do Stripe e executando-o nas páginas de checkout, aproveitando a confiança que os lojistas depositam nessas plataformas.
O ataque é particularmente perigoso porque o tráfego malicioso passa por domínios legítimos e confiáveis, como api.stripe.com e googletagmanager.com, o que permite que ele contorne a maioria das ferramentas de segurança tradicionais. Isso torna a detecção extremamente difícil sem uma auditoria manual detalhada dos scripts do lado do cliente.
Mecanismo de operação e exfiltração
O skimmer é carregado através de um container do Google Tag Manager comprometido. Quando o usuário acessa uma página de checkout, o skimmer é injetado no navegador e captura os dados do cartão de crédito. Em vez de enviar os dados para um servidor de comando e controle externo, os atacantes os enviam de volta para a API do Stripe, disfarçando-os como novos clientes ou atualizações de conta.
Essa técnica de "exfiltração via API legítima" permite que os dados sejam recuperados posteriormente pelos atacantes simplesmente listando os clientes em sua própria conta do Stripe. Além disso, uma variante do ataque utiliza o Google Firestore para armazenar o payload, demonstrando a capacidade dos atacantes de adaptar suas táticas para diferentes serviços em nuvem.
Indicadores de comprometimento (IOCs)
Os seguintes indicadores foram identificados e devem ser monitorados:
- Container GTM: GTM-P6KZMF63, GTM-55976FLP, GTM-MSDHV3HG, GTM-TV4CSHVN
- ID do Cliente Stripe: cus_TfFjAAZQNOYENR
- URL de Exfiltração: https://api.stripe.com/v1/customers
- Chaves de Armazenamento Local: cus_customer_id, d_data_customer
Lojistas devem revisar todos os scripts do lado do cliente em seus sites, verificando a presença de chaves secretas do Stripe ou chamadas de API incomuns. A remoção de tags não autorizadas do Google Tag Manager é essencial para mitigar o risco.
Recomendações para e-commerce
As organizações que operam lojas online devem implementar verificações de integridade de código para garantir que nenhum script malicioso tenha sido injetado em suas páginas. O uso de ferramentas de segurança específicas para e-commerce, como as oferecidas pela Sansec, pode ajudar a detectar skimmers e outras ameaças do lado do cliente.
Além disso, é recomendável limitar o acesso administrativo ao Google Tag Manager e revisar regularmente as tags e gatilhos configurados. A implementação de políticas de segurança de conteúdo (CSP) pode ajudar a restringir a execução de scripts não autorizados, adicionando uma camada extra de proteção.
Implicações regulatórias e conformidade
Este ataque destaca a importância da conformidade com padrões de segurança como PCI DSS. A exfiltração de dados de cartões de crédito pode resultar em multas significativas e danos à reputação da marca. As organizações devem garantir que seus processos de desenvolvimento e implantação de software incluam verificações de segurança rigorosas para prevenir a injeção de código malicioso.
O que os CISOs devem fazer agora
Equipes de segurança devem revisar os logs de acesso ao Google Tag Manager e ao Stripe em busca de atividades suspeitas. A implementação de monitoramento contínuo do tráfego de rede e a análise de comportamento de usuários (UEBA) podem ajudar a identificar tentativas de exfiltração de dados. A conscientização dos desenvolvedores sobre os riscos de integrar serviços de terceiros é fundamental para prevenir ataques semelhantes.