Magento est une plateforme bien connue dans le domaine du commerce électronique libre dans la mesure où la solution propose des fonctionnalités comme les outils de marketing et promotions, la gestion de son site, la gestion des commandes, un service client, la gestion du catalogue de produits (qu'ils soient physiques ou virtuels) et même une version sur mobile.En début février 2015, l'équipe derrière la solution a déployé un correctif de sécurité ; SUPEE-5344 venait corriger une faille qui aurait permis à des attaquants de subtiliser les données relatives aux cartes de paiement ainsi qu'aux informations sur les clients.
« L'anatomie des hacks attribués à la vulnérabilité a permis aux pirates de créer des utilisateurs de type administrateurs dans l'application Magento. Ensuite, ils ont ajouté du JavaScript aux fichiers, leur permettant ainsi de soutirer des informations de paiement directement depuis les formulaires de commandes ou, dans certains cas, ils ont modifié une série de fichiers PHP qui diffusent des informations durant la phase du traitement des paiements. Indépendamment de la technique employée, les résultats étaient les mêmes : les hackers ont volé des informations relatives aux cartes de crédit et les ont siphonnées. Raison pour laquelle SUPEE-5344 est le correctif le plus important qui devrait être appliqué à toutes les versions de Magento publiées avant février 2015 », a averti Denis Sinegubko, Senior Malware Researcher pour le compte de Sucuri.
Pourtant, selon l'expert en sécurité Sucuri, en avril 2015 plus de la moitié des sites se servant de la solution e-commerce d'eBay étaient encore vulnérables, car n'avaient pas appliqué le correctif de sécurité. « La vulnérabilité que nous avons découverte représente une menace significative non pas pour un seul store, mais pour toutes les marques qui se servent de la plateforme Magento pour leurs vitrines en ligne - qui représente près de 30 % du marché de l'e-commerce », avait prévenu Shahar Tal, Malware and Vulnerability Research Manager pour le compte de Check Point. L'adoption du correctif s'est donc avérée très lente.
Un an plus tard, nombreux sont les sites qui n'ont pas été mis à jour, pour le plus grand bonheur des pirates qui ont opté pour proposer aux propriétaires de sites de télécharger une mise à jour factice SUPEE-5344. « À cause de la sévérité de la vulnérabilité, de nombreux pirates savent à quel point ce correctif est important et certains ont même essayé de le greffer », a remarqué Sucuri.
Ce dernier estime que le logiciel malveillant est plus sophistiqué que les injections Magento similaires. Tout d'abord à cause de sa taille (160 lignes de code contre une douzaine de lignes, voire une seule d'un code chiffré pour des campagnes similaires), et ensuite pour des injections chiffrées plus petites dans d'autres fichiers.
Le correctif factice va ouvrir de nouvelles brèches prêtes à être exploitées par les attaquants. Tout d'abord, il va installer un ensemble de keyloggers qui seront insérés dans les pages de paiement et tous les fichiers PHP qui gèrent les données de paiement. Ces keyloggers vont collecter les informations personnelles des utilisateurs ainsi que leurs informations de paiement. Les données volées seront stockées dans une image au format JPEG. Ces images sont sauvegardées sur le disque et envoyées à intervalle régulier à l'adresse perampokcc @ gmail.com avec pour objet « Logger CC Magento From $store », la variable $store servant à garder une trace du site piratée dont les données proviennent. L'adresse imamlogs @gmail .com est aussi utilisée pour garder une trace des noms d'utilisateur, mots de passe, adresse IP, date, navigateur et nom de serveur. L'objet est « User Login ($country_name) ($server_ip) », et l'entête indiquant l'expéditeur (« De ») est « Logger User Magento From $server_name <$server_ip @$server_name> »
En plus d'intercepter les requêtes POST contenant des données sensibles, la mise à jour factice peut également :
- exécuter du code PHP arbitraire sur le serveur : shell_exec($_REQUEST[‘jpg’]) ;
- changer la permission de tous les fichiers Magento (le paramètre par défaut est 777) ;
- effacer le fichier media/shop.jpg lorsqu'il n'est plus utile (fichier dans lequel sont sauvegardées les données des requêtes POST interceptées).
Source : Checkpoint, blog Sucuri, blog Sucuri (avril 2015)
Voir aussi :
Les sites web basés sur le CMS Magento ont été victimes d'attaques massives, rapportent les experts en sécurité de Sucuri 
