Magento hackeado con la extension Helpdesk
Los ataques a magento se producen con una extensión llamada Mirasvit servicio de asistencia que permite a los sitios mostrar un widget Chat con nosotros en tiendas de Magento
En septiembre de 2017, la empresa de seguridad húngaro WebShield publicó detalles sobre dos vulnerabilidades que afectan a la extensión Mirasvit Helpdesk.Los expertos advirtieron que todas las versiones de la extensión Mirasvit Helpdesk lanzado hasta ese momento (hasta la versión 1.5.2) eran vulnerables a estos dos defectos.
Los atacantes primero se permiten subir archivos a los servidores de Magento subyacentes (CVE-2017-14.320), mientras que el segundo fue un cross-site scripting banales (XSS) tema (CVE-2.017 a 14.321).
Groot publicó los resultados de su investigación de una tienda Magento hackeado, y el experto en seguridad afirma que los hackers utilizan el segundo error de romper los sitios de Magento.
Según De Groot, los atacantes envían mensajes a través benignos el widget Mirasvit Helpdesk. El atacante entró código malicioso que contiene la carga útil XSS en la ventana de chat que aparece en las tiendas de Magento, y el mensaje se almacena en la base de datos de Magento.
Cuando el personal de soporte comprobó los mensajes recientes en back-end de la tienda, el mensaje malicioso se muestra como un texto benigna que decía algo así como:
Hey, te recomiendo que hagas un rediseño! Por favor, póngase en contacto conmigo si necesita un buen diseñador! - knockers@yahoo.com
El código malicioso no era visible, pero en realidad, en el momento en que el dueño de la tienda ver este mensaje, la carga útil ya se ejecutaba.
De Groot dice que la carga útil XSS inserta código malicioso adicional en la sección de pie de página de la tienda Magento. Este código se ejecuta en todas las páginas de la tienda, y su función era recoger datos de la tarjeta de pago del proceso de compra de la tienda.
De Groot publicó una copia de la carga útil en GitHub, y también incluye instrucciones sencillas en su blog que los propietarios de Magento pueden seguir y probar y ver si sus sitios se han comprometido mediante el widget Mirasvit Helpdesk.
En cuanto a Mirasvit, la empresa actuó de forma responsable y lanzó la versión 1.5.3 de regreso en septiembre que incluye correcciones para los dos problemas de seguridad.
La compañía se negó a hacer comentarios para esta historia, pero publicó una entrada en el blog hoy advirtiendo a los clientes de los intentos de explotación en curso y como un recordatorio para que los clientes actualicen sus extensiones.