Developpez.com

Télécharger gratuitement le magazine des développeurs, le bimestriel des développeurs avec une sélection des meilleurs tutoriels

Des attaquants se servent d'un faux correctif sur les sites e-commerce Magento
Pour pirater des boutiques en ligne

Le , par Stéphane le calme, Chroniqueur Actualités
Magento est une plateforme bien connue dans le domaine du commerce électronique libre dans la mesure où la solution propose des fonctionnalités comme les outils de marketing et promotions, la gestion de son site, la gestion des commandes, un service client, la gestion du catalogue de produits (qu'ils soient physiques ou virtuels) et même une version sur mobile.

En début février 2015, l'équipe derrière la solution a déployé un correctif de sécurité ; SUPEE-5344 venait corriger une faille qui aurait permis à des attaquants de subtiliser les données relatives aux cartes de paiement ainsi qu'aux informations sur les clients.

« L'anatomie des hacks attribués à la vulnérabilité a permis aux pirates de créer des utilisateurs de type administrateurs dans l'application Magento. Ensuite, ils ont ajouté du JavaScript aux fichiers, leur permettant ainsi de soutirer des informations de paiement directement depuis les formulaires de commandes ou, dans certains cas, ils ont modifié une série de fichiers PHP qui diffusent des informations durant la phase du traitement des paiements. Indépendamment de la technique employée, les résultats étaient les mêmes : les hackers ont volé des informations relatives aux cartes de crédit et les ont siphonnées. Raison pour laquelle SUPEE-5344 est le correctif le plus important qui devrait être appliqué à toutes les versions de Magento publiées avant février 2015 », a averti Denis Sinegubko, Senior Malware Researcher pour le compte de Sucuri.

Pourtant, selon l'expert en sécurité Sucuri, en avril 2015 plus de la moitié des sites se servant de la solution e-commerce d'eBay étaient encore vulnérables, car n'avaient pas appliqué le correctif de sécurité. « La vulnérabilité que nous avons découverte représente une menace significative non pas pour un seul store, mais pour toutes les marques qui se servent de la plateforme Magento pour leurs vitrines en ligne - qui représente près de 30 % du marché de l'e-commerce », avait prévenu Shahar Tal, Malware and Vulnerability Research Manager pour le compte de Check Point. L'adoption du correctif s'est donc avérée très lente.

Un an plus tard, nombreux sont les sites qui n'ont pas été mis à jour, pour le plus grand bonheur des pirates qui ont opté pour proposer aux propriétaires de sites de télécharger une mise à jour factice SUPEE-5344. « À cause de la sévérité de la vulnérabilité, de nombreux pirates savent à quel point ce correctif est important et certains ont même essayé de le greffer », a remarqué Sucuri.

Ce dernier estime que le logiciel malveillant est plus sophistiqué que les injections Magento similaires. Tout d'abord à cause de sa taille (160 lignes de code contre une douzaine de lignes, voire une seule d'un code chiffré pour des campagnes similaires), et ensuite pour des injections chiffrées plus petites dans d'autres fichiers.

Le correctif factice va ouvrir de nouvelles brèches prêtes à être exploitées par les attaquants. Tout d'abord, il va installer un ensemble de keyloggers qui seront insérés dans les pages de paiement et tous les fichiers PHP qui gèrent les données de paiement. Ces keyloggers vont collecter les informations personnelles des utilisateurs ainsi que leurs informations de paiement. Les données volées seront stockées dans une image au format JPEG. Ces images sont sauvegardées sur le disque et envoyées à intervalle régulier à l'adresse perampokcc @ gmail.com avec pour objet « Logger CC Magento From $store », la variable $store servant à garder une trace du site piratée dont les données proviennent. L'adresse imamlogs @gmail .com est aussi utilisée pour garder une trace des noms d'utilisateur, mots de passe, adresse IP, date, navigateur et nom de serveur. L'objet est « User Login ($country_name) ($server_ip) », et l'entête indiquant l'expéditeur (« De ») est « Logger User Magento From $server_name <$server_ip @$server_name> »

En plus d'intercepter les requêtes POST contenant des données sensibles, la mise à jour factice peut également :

  • exécuter du code PHP arbitraire sur le serveur : shell_exec($_REQUEST[‘jpg’]) ;
  • changer la permission de tous les fichiers Magento (le paramètre par défaut est 777) ;
  • effacer le fichier media/shop.jpg lorsqu'il n'est plus utile (fichier dans lequel sont sauvegardées les données des requêtes POST interceptées).


Source : Checkpoint, blog Sucuri, blog Sucuri (avril 2015)

Voir aussi :

Les sites web basés sur le CMS Magento ont été victimes d'attaques massives, rapportent les experts en sécurité de Sucuri


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de a028762 a028762 - Membre averti https://www.developpez.com
le 18/02/2016 à 9:49
Comme quoi les problèmes de sécurité ne sont pas que le problème des informaticiens,
ils ont beau avoir proposé un correctif adapté,
les pirates ont profité de l'ignorance (fainéantise, désintérêt ?) des clients pour les dupper.
Ah, Mame Michou, kla vie est compliquée :-)
Olivier
Avatar de TiranusKBX TiranusKBX - Expert confirmé https://www.developpez.com
le 18/02/2016 à 16:46
cela prend uniquement car trop peut de personne vérifie la source du fichier
Avatar de biboupat biboupat - Futur Membre du Club https://www.developpez.com
le 22/02/2016 à 19:27
Bonsoir !

Merci pour cet article ! Vous ne faites pas référence à une version ou une autre de Magento ?

Je suis intéressé par Magento 2 !
Quelle version de Magento sont touchées et est-ce que la version 2 peut être impacté. A telle déjà la "bonne" mise à jour par défaut, ou faut-il l'installer ?

Merci
Avatar de dozern dozern - Candidat au Club https://www.developpez.com
le 01/03/2016 à 16:48
A la lecture du blog de sucuri comme du communiqué de checkpoint, je ne vois pas en quoi ce serait un faux patch qui serait la cause.
J'ai plus l'impression que c'est l'absence de mise en place d'un patch existant qui est en cause.

Ensuite, pourquoi 50% des sites magento ne seraient pas patchés correctement ?
Est-ce dû à de la négligence ou à chercher du côté d'incompatibilités avec des spécifiques ? Je n'en ai pas la moindre idée.

En tous cas, merci de l'info.
Dans ma boite, la direction souhaite abandonner notre site e-commerce développé fullstack en interne pour passer à un magento.
Ca me fait une cartouche pour défendre notre boulot
Offres d'emploi IT
Responsable technique java/jee H/F
Capgemini - Midi Pyrénées - Toulouse (31000)
Expert décisionnel business intelligence H/F
Safran - Ile de France - Évry (91090)
Développeur débutant H/F
Capgemini - Aquitaine - Bordeaux (33000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil