Grelos Skimmer

Grelos Skimmer est le nom donné à une souche de logiciels malveillants déployés par des pirates informatiques dans des attaques de type Magecart. Le Grelos Skimmer est utilisé depuis plusieurs années depuis qu'il a été détecté pour la première fois en 2015. Pendant ce temps, de multiples variantes ont été développées et libérées par plusieurs groupes de hackers différents, créant une confusion considérable en essayant de distinguer les opérations d'un groupe d'un autre.

Magercart désigne une opération d'attaque qui voit des pirates informatiques compromettre et voler des données de carte de crédit sur des sites Web de commerce électronique en particulier. Des centaines de sites Web ont été victimes de cette attaque, y compris certaines grandes marques telles que British Airways et Ticketmaster. De nombreux cybercriminels sont intervenus, entraînant la création de nombreux groupes spécialisés dans la conduite de telles attaques. Dans le paysage actuel, les caractéristiques distinctes des acteurs de la menace Magecart commencent à se mélanger. Les meilleurs exemples sont les dernières variantes de Grelos Skimmer qui ont été découvertes par les chercheurs de RiskIQ.

Ces nouvelles menaces de skimmer réutilisent des portions importantes de code plus ancien, certaines sections pouvant être retracées jusqu'aux premières instances de Magecart. Bien qu'elles soient publiées par différents groupes, il existe un chevauchement important dans les souches - elles contiennent une étape de chargement et une étape d'écumeur, utilisent un codage base64 et des sockets Web pour l'exfiltration des données. Seules des différences mineures ont été trouvées, comme l'une utilisant une couche de codage base64 tandis que l'autre génère cinq couches. Cependant, la dernière version a été équipée d'un faux formulaire de paiement qui collecte toutes les données que les utilisateurs y saisissent. Selon les chercheurs, des dizaines de sites ont déjà été compromis par cette variante de Grelos Skimmer.