Исходное сообщение
"Подмена кода проектов Picreel и Alpaca Forms привела к компр..." Отправлено opennews, 13-Май-19 09:16
Исследователь безопасности Виллем де Гроот (Willem de Groot) сообщил (https://twitter.com/gwillem/status/1127617495911804935), что в результате взлома инфраструктуры атакующие смогли внедрить вредоносную вставку в код системы web-аналитики Picreel (https://www.picreel.com/) и открытой платформы для генерации интерактивных web-форм Alpaca Forms (http://www.alpacajs.org/) (были подменены скрипты, поставляемые через сеть доставки контента Cloud CMS). Подмена JavaScript-кода привела к компрометации  4684 сайтов, применяющих на своих страницах указанные системы (1249 (https://publicwww.com/websites/%22assets.pcrl.co%22/) - Picreel и  3435 (https://urlscan.io/result/b6aaefd5-851b-4c60-8253-d5153f2eab21) - Alpaca Forms). Внедрённый вредоносный код (https://gist.github.com/gwillem/866af760afcef583ebed23948cbb...) осуществлял сбор сведений о заполнении всех web-форм на сайтах и в том числе мог привести к перехвату ввода платёжной информации и параметров аутентификации. Перехваченная информация отправлялась на сервер font-assets.com под видом запроса изображений. Информации о том, как именно была скомпрометирована инфраструктура Picreel  и CDN-сеть для доставки скрипта Alpaca Forms пока нет. Вредоносная вставка (https://urlscan.io/result/b6aaefd5-851b-4c60-8253-d5153f2eab21) была закамуфлирована под массив данных в минимизированной версии (https://assets.pcrl.co/js/jstracker.min.js) скрипта (расшифровку кода можно посмотреть здесь (https://gist.github.com/gwillem/866af760afcef583ebed23948cbb...)). Среди пользователей скомпрометированных проектов отмечается много крупных компаний, включая Sony, Forbes, Trustico, FOX, ClassesUSA, 3Dcart, Saxo Bank, Foundr, RocketInternet,  Sprit и Virgin Mobile. С учётом того, что это не первая атака подобного рода (см. инциденты (https://www.opennet.ru/opennews/art.shtml?num=49568) с подменой счётчика StatCounter и появлением (https://www.opennet.ru/opennews/art.shtml?num=46845) вредоносного кода на сайте госуслуг]]), администраторам сайтов рекомендуется очень внимательно относиться к размещению стороннего JavaScript-кода, особенно на страницах связанных с платежами и аутентификацией. URL: https://www.zdnet.com/article/hackers-are-collecting-payment.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=50673