Wie heise.de gestern berichtete, sind aktuell Tausende Magento-Shops von einem Brut-Force-Angriff betroffen. Mit fatalen Folgen für die Händler und deren Kunden. Schließlich würden laufend alle Kundeneingaben protokolliert und Bezahldaten an einen Server in Moskau geschickt.
Unter den mehreren Tausend Magento-Shops, sind laut heise auch einige millionenschwere Großunternehmen, die mit Skimming-Malware infiziert sind. Für die Attacke nutzen die Angreifer keine Sicherheitslücke, sondern versuchen die Passwörter der Admin-Konten zu knacken.
Sobald sie sich Zugang zum Magento-Shop verschaffen konnten, integrieren die Angreifer ein Stück Javascript-Code in die HTML-Templates des Shops und schreiben die Kundeneingaben mit und übertragen diese an einen in Russland registrierten Server, mit Domain magentocore.net. Aus diesen Daten wiederum extrahieren die Angreifer dann vermutlich die Bankdaten. Scheinbar wurden bereits im Januar diesen Jahres erste Hinweise dazu bekannt.
Online-Händler mit einem Magento-Shop, wissen dass sie infiltriert sind, wenn der folgende JavaScript-Code (oder Abwandlungen davon) im Quellcode der Shop-Seiten auftaucht:
<script type="text/javascript" src="https://magentocore.net/mage/mage.js"></script>
Leider genügt es nicht, diesen Verweis zu entfernen. Denn zusätzlich zum eingeschleusten JavaScript-Code, nehmen die Angreifer Änderungen in der cron.php-Datei vor. Diese Änderungen sorgen dafür, dass der Magento-Shop in regelmäßigen Abständen Schadcode aus dem Netz lädt, der die Passwörter von Admin-Konten auf einen den Hackern bekannten Wert ändert. So kann der Shop, auch nach Entfernen der Malware, wieder neu infiziert werden.
heise.de empfiehlt Shop-Administratoren daher nicht nur, die Verweise sofort zu entfernen, sondern auch die Cron-Routinen der Magento-Installation nach entsprechenden Einträgen zu durchsuchen.
Ende August wurde die Zahl der betroffenen, mit Malware infizierten, Magento-Shops noch mit 7.339 beziffert. PublicWWW entdeckt aktuell noch etwas über 5.200 betroffene Online-Shops. Über die tatsächliche Höhe der betroffenen Magento-Shops, kann jedoch nur spekuliert werden. So ist unbekannt, wieviele der heute aktiven Magento-Shops von PublicWWW tatsächlich erfasst werden konnten. Außerdem, entfernen zwar Administratoren bereits den entsprechenden Schadcode aus ihren Magento-Shops, allerdings kommen täglich angeblich 30 – 50 neue Magento-Shops dazu.
Bildquelle: Igor stevanovic @ bigstockphoto