Magento-webwinkels bij grootschalige aanval besmet met malware
Bij een grootschalige aanval op Magento-webwinkels zijn dit weekend bijna tweeduizend webshops van malware voorzien die creditcard- en persoonsgegevens van klanten steelt. Het grootste deel van de getroffen webwinkels draait op Magento versie 1, die sinds juni end-of-life is en niet meer met beveiligingsupdates wordt ondersteund. Dat meldt beveiligingsonderzoeker Willem de Groot van securitybedrijf Sansec.
Veel van de webwinkels hadden geen verleden als het om beveiligingsincidenten gaat, aldus De Groot. "Dit suggereert een nieuwe aanvalsmethode om toegang tot deze winkels te krijgen." De exacte aanvalsvector wordt nog onderzocht, maar de onderzoeker sluit niet uit dat er gebruik is gemaakt van een zeroday-exploit voor Magento 1 die onlangs op internet te koop werd aangeboden.
Wereldwijd zouden nog zo'n 95.000 webwinkels op Magento 1 draaien. Bij de nu waargenomen aanvallen installeren de aanvallers een webshell en krijgen zo volledige toegang tot de webshop. Vervolgens wordt er malware aan de bestelpagina van de gecompromitteerde winkels toegevoegd. Zodra klanten afrekenen worden hun gegevens onderschept en naar de aanvallers teruggestuurd. De Groot schat dat op deze manier de gegevens van duizenden klanten in handen van criminelen zijn gekomen.
Op php gebaseerd CMS. Vaak in de handen van de niet-website-savvy blijft het aanmodderen geblazen.
En onthou een "gelikt uitziende" website is nog lang geen echt veilige website.
luntrus
Het is toch treurig! Al bijna drieëneenhalve maand 'onderhouden' deze websites een valkuil voor klanten.
Hier op security.nl nu ook een topic over wat veiliger is: Credit-card of Paypal en dan moet je hier lezen dat misschien wel zo'n 95.000 webshops wereldwijd 'butterfingers' hebben door uiterst laconiek om te gaan met door klanten in vertrouwen toegespeelde persoonlijke gegevens zoals Credit-card nummers, door hun software out of date te laten lopen.
Het is potdikkie niet treurig... Het is diep schandalig. Het is dus een op handen zijnde Magento1 pandemie. "Hatsjoe!!"
Je zou bijna spreken van: aanleiding geven tot diefstal van gevoelige gegevens.
Maar een groot gedeelte van de IT-ers in opleiding bij het MBO komt nooit aan de bak en vullen noodgedwongen de rijen van "gamers" en "hackers".
De rol van CEO en manager(s) en achterliggende stakeholders vinden veiligheid onterecht een sluitstuk op de begroting. Die er geen verstand van hebben, nemen de beslissingen en die over relevante kennis van beschikken, tellen niet mee in het verhaal (lastige achtergrond ruis, top-down soort van de mond snoeren).
Men luistert eerder liever naar gelikte dozenschuivers en "one-click-solution"-verkooppraatjes.
De rekening zit echter altijd onder in de zak, maar dan wijst men naar ieder ander, behalve naar zichzelf
(een zwaar menselijk trekje dat al opgeld doet vanaf de tijd van de tuin van Eden in Sumer).
Deed men maar eens wat hieraan. Willem de Groot is ook vaak een roepende in de woestijn gebleken.
Sucuri krijgt kennelijk toch te weinig bezoekers.
Niemand is kennelijk geïnteresseerd in de tips via de webhint scanner van de JS Foundation.
Ja, grote Big Tech data-schuivers in de online SEO en tracking obfuscatie aspecten,
maar minder in de security-kant van de zaak.
Daarom zo veel bedreigingen bij op PHP-gebaseerde CMS, ja ook bij Word Press en in mindere mate Joomla.
Configuratie instellingen niet goed op 'disabled' gezet.
Afvoerbare en kwetsbare jQuery bibliotheken, die onder bepaalde omstandigheden DOM-XSS issues kunnen veroorzaken, JavaScript errors, SRI-onveiligheid, ontbrekende veiligheid-headers, kwetsbaarheden en zwakheden op de achterliggende server(s), CSP niet goed ingestel, Cookie-security enz. enz.
Slechte monitoring tussen website en achterliggende servers. Verdoezelen van feiten, opdat de baas maar niet ziet, hoe incompetent men eigenlijk is, waanzinnige arrogantie en "neuswijsheid", als teken van persisterende domheid en gebrek aan IQ.
Zelfs als het kalf al meerdere malen verdronken is, dempt men de putten nog steeds niet eens.
Wie houden dit drama in vele bedrijven in stand en wie verdienen hier gigantisch aan?
Cyber security, maar al te vaak een ondergeschoven kindje in het digitale landschap..
luntrus
Maar een groot gedeelte van de IT-ers in opleiding bij het MBO komt nooit aan de bak en vullen noodgedwongen de rijen van "gamers" en "hackers".
De rol van CEO en manager(s) en achterliggende stakeholders vinden veiligheid onterecht een sluitstuk op de begroting. Die er geen verstand van hebben, nemen de beslissingen en die over relevante kennis van beschikken, tellen niet mee in het verhaal (lastige achtergrond ruis, top-down soort van de mond snoeren).
Men luistert eerder liever naar gelikte dozenschuivers en "one-click-solution"-verkooppraatjes.
De rekening zit echter altijd onder in de zak, maar dan wijst men naar ieder ander, behalve naar zichzelf
(een zwaar menselijk trekje dat al opgeld doet vanaf de tijd van de tuin van Eden in Sumer).
Deed men maar eens wat hieraan. Willem de Groot is ook vaak een roepende in de woestijn gebleken.
Sucuri krijgt kennelijk toch te weinig bezoekers.
Niemand is kennelijk geïnteresseerd in de tips via de webhint scanner van de JS Foundation.
Ja, grote Big Tech data-schuivers in de online SEO en tracking obfuscatie aspecten,
maar minder in de security-kant van de zaak.
Daarom zo veel bedreigingen bij op PHP-gebaseerde CMS, ja ook bij Word Press en in mindere mate Joomla.
Configuratie instellingen niet goed op 'disabled' gezet.
Afvoerbare en kwetsbare jQuery bibliotheken, die onder bepaalde omstandigheden DOM-XSS issues kunnen veroorzaken, JavaScript errors, SRI-onveiligheid, ontbrekende veiligheid-headers, kwetsbaarheden en zwakheden op de achterliggende server(s), CSP niet goed ingestel, Cookie-security enz. enz.
Slechte monitoring tussen website en achterliggende servers. Verdoezelen van feiten, opdat de baas maar niet ziet, hoe incompetent men eigenlijk is, waanzinnige arrogantie en "neuswijsheid", als teken van persisterende domheid en gebrek aan IQ.
Zelfs als het kalf al meerdere malen verdronken is, dempt men de putten nog steeds niet eens.
Wie houden dit drama in vele bedrijven in stand en wie verdienen hier gigantisch aan?
Cyber security, maar al te vaak een ondergeschoven kindje in het digitale landschap..
luntrus
Cyber security, maar al te vaak een ondergeschoven kindje in het digitale landschap..
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
