Hàng ngàn trang thương mại điện tử có nguy cơ bị tấn công qua những CMS phổ biến

Khác với những cuộc tấn công thô thiển trước đây, kẻ tấn công lần này đã thể hiện sự am hiểu sâu sắc về cách thức hoạt động của các website thương mại điện tử hiện đại.

Nghệ thuật ngụy trang trong kỷ nguyên số

Chúng không đơn giản chỉ chèn mã độc một cách bừa bãi, mà đã khéo léo "ẩn nấp" trong chính những công cụ mà các doanh nghiệp tin tưởng nhất - những thẻ phân tích và tiếp thị như Facebook Pixel, Meta Pixel và Google Tag Manager.

Điều khiến cuộc tấn công này trở nên đáng sợ chính là sự tinh tế trong ngụy trang. Đoạn mã JavaScript độc hại được thiết kế để trông giống hệt một đoạn code phân tích dữ liệu thông thường - thứ mà bất kỳ nhà phát triển web nào cũng quen thuộc và ít khi nghi ngờ.

Các chuyên gia từ c/side - công ty chuyên giám sát các script bên thứ 3 - đã phát hiện ra rằng kẻ tấn công sử dụng kỹ thuật mã hóa Base64 để che giấu URL payload, đồng thời định tuyến lưu lượng truy cập qua các tên miền đáng ngờ như /tagscart.shop/cdn/analytics.min.js. Đây là một nước đi thông minh, biến những gì có vẻ như phân tích web hợp pháp thành vũ khí tấn công nguy hiểm.

Kịch bản tấn công được dàn dựng tinh vi

Quy trình tấn công diễn ra như một vở kịch được dàn dựng kỹ lưỡng. Khi đoạn mã được giải mã và thực thi, nó tạo ra một element mới, chèn nó vào trước các script hiện có và âm thầm khởi chạy mã bổ sung. Đây chỉ là màn mở đầu cho một chuỗi hành động phức tạp hơn nhiều.

Malware sau đó thực thi mã được làm rối cực kỳ phức tạp, sử dụng các tham chiếu thập lục phân, tái tổ hợp mảng và hàm eval() để giải mã động. Tất cả những kỹ thuật này nhằm một mục đích duy nhất: tạo ra một biểu mẫu thẻ tín dụng giả mạo trong quá trình thanh toán, được thiết kế để trông hoàn toàn hợp pháp.

Biểu mẫu giả mạo này không phải là sản phẩm của sự lười biếng hay thiếu chuyên môn. Ngược lại, nó được chế tác tỉ mỉ để thu thập thông tin trên khắp các trường: số thẻ tín dụng, ngày hết hạn và mã CVC. Các listener được gắn vào các thao tác bôi đen, nhấn phím và dán text (paste), đảm bảo rằng mọi hành động nhập liệu của người dùng đều được ghi lại.

Điều đáng chú ý là cuộc tấn công không dựa vào việc "cắt" clipboard, mà buộc người dùng phải nhập thủ công thông tin thẻ. Đây là một chiến lược thông minh, vì nó tránh được nhiều biện pháp bảo vệ tự động và tạo ra cảm giác "tự nhiên" hơn cho nạn nhân.

Hành trình nguy hiểm của dữ liệu bị đánh cắp

Ngay khi thông tin được nhập, dữ liệu lập tức được chuyển đi thông qua các yêu cầu POST tới hai tên miền command-and-control: //ultracart[.]shop/g.php và //hxjet.pics/g.php. Nhưng câu chuyện chưa dừng lại ở đó. Trong một nước đi khéo léo, biểu mẫu thanh toán gốc bị ẩn đi ngay khi thông tin thẻ được gửi và một trang thứ hai xuất hiện, yêu cầu người dùng nhập thêm chi tiết giao dịch ngân hàng.

Điều gây sốc nhất trong báo cáo này là thời gian trì hoãn bất thường trong việc sử dụng dữ liệu thẻ bị đánh cắp - mất tới vài tháng thay vì vài ngày như thông thường. Một thẻ được sử dụng vào ngày 18.6 trong giao dịch thanh toán qua điện thoại từ Mỹ, trong khi thẻ khác bị tính phí 47,80 euro cho một nhà cung cấp chưa xác định.

Vụ việc này phơi bày một rủi ro ngày càng gia tăng trong thương mại điện tử dựa trên SaaS, nơi các nền tảng CMS như OpenCart trở thành mục tiêu "mềm" cho malware tiên tiến. Thời đại mà chỉ cần tường lửa cơ bản là đủ đã qua rồi.

Các nền tảng tự động như c/side tuyên bố có thể phát hiện mối đe dọa bằng cách phát hiện JavaScript bị làm rối, các form injection trái phép và hành vi script bất thường. Tuy nhiên, đây chỉ là một phần trong cuộc chiến chống lại tội phạm mạng.

Cần làm gì để tự vệ?

Khi kẻ tấn công ngày càng tinh vi, ngay cả những triển khai CMS nhỏ cũng phải duy trì sự cảnh giác cao độ. Giám sát thời gian thực và tình báo mối đe dọa không còn là tùy chọn mà đã trở thành yêu cầu bắt buộc đối với các nhà cung cấp thương mại điện tử muốn bảo vệ lòng tin của khách hàng.

Các doanh nghiệp cần hiểu rằng an ninh mạng không phải là một lần đầu tư rồi quên, mà là một quá trình liên tục. Trong thế giới mà mọi thứ đều có thể bị ngụy trang, việc xây dựng các lớp bảo vệ đa tầng, kết hợp với việc giáo dục nhân viên và khách hàng về các mối đe dọa mới, đã trở thành yếu tố sống còn.

Cuộc tấn công Magecart mới này không chỉ là một cảnh báo về mặt kỹ thuật, mà còn là lời nhắc nhở rằng trong cuộc đua vũ trang số, việc đi trước một bước có thể quyết định sự tồn tại của doanh nghiệp trong thời đại số.