Home
Servizi
Vulnerabilità del checkout di PrestaShop

Vulnerabilità del checkout di PrestaShop

Ti consigliamo di agire e di proteggere la tua attività.

Parliamo del tuo negozio Vedi i dettagli

Scoperta una vulnerabilità di PrestaShop: colpiti circa 200 negozi

Negli ultimi mesi abbiamo visto un numero molto più alto di negozi PrestaShop hackerati, anche se il sistema è noto per la sua sicurezza. Se negli ultimi 10 anni avevamo avuto solo pochi casi (3-4) di negozi PrestaShop hackerati, negli ultimi 4 mesi abbiamo ricevuto oltre 10 richieste per analizzare o ripulire un negozio hackerato.

L’obiettivo principale di questi attacchi è iniettare skimmer JavaScript nelle pagine di checkout dei siti e-commerce.

Per sferrare questo attacco, gli hacker hanno ottenuto l’accesso ai siti, direttamente o tramite servizi di terze parti, e poi hanno iniettato JavaScript malevolo per rubare le informazioni che i clienti digitano nei moduli di pagamento online, di solito presenti nelle pagine di checkout.

Le attività online di solito non hanno visibilità sulle proprie superfici di attacco esposte sul web, che gli hacker sfruttano. Spesso le vittime non si accorgono che il JavaScript del loro sito è stato alterato, e il codice malevolo può restarci indefinitamente. Negli attacchi alla supply chain è tipico che la vittima non sia consapevole del pericolo rappresentato dal JavaScript di terze parti compromesso presente sul suo sito, né di eseguire codice proveniente dal fornitore compromesso.

Gli hacker hanno alterato la pagina di checkout e sostituito il modulo standard della carta di credito con uno proprio.

Gli esempi seguenti mostrano i vari problemi che questo avrebbe potuto causare:

Furto di dati personali: anche se l’obiettivo principale di questi attacchi sono i dati delle carte di credito, i ladri possono rubare anche informazioni personali. Potenzialmente potrebbero esserne colpiti milioni di consumatori.
Perdita di fatturato: le vendite online di un piccolo o medio e-commerce già colpito da questi attacchi possono calare in modo significativo, perché i clienti potrebbero smettere di credere che il negozio sia in grado di impedire nuove violazioni.
Ulteriori infezioni: se un gruppo di hacker ruba le credenziali di accesso di amministratori e utenti, può estendere l’attacco e infettare altri siti. Per esempio, può compromettere non solo il sito principale di un marchio ma anche i suoi siti secondari.
Danni legali: un attacco hacker espone un’azienda alle cause dei clienti, a conseguenze legali se è soggetta a normative come il GDPR e a sanzioni di settore, come un audit PCI DSS o l’impossibilità di accettare carte di credito.

Cosa si può fare?

Eseguire un controllo approfondito dei file del negozio alla ricerca di intrusioni e individuare qualsiasi modifica indesiderata
Installando Imunify sul server si può impedire l’esecuzione dei file compromessi.
Abbiamo usato ampiamente il modulo Clarity Pro per individuare i problemi e stabilire se i dati delle carte fossero stati compromessi o no.
È consigliabile attivare la doppia autenticazione per il pannello di amministrazione.

Le opzioni sopra indicate costano 200 € una tantum più 15 € al mese.

Prevenire un problema è sempre meglio che curarlo. Ti consigliamo vivamente di adottare le precauzioni indicate sopra per mantenere sicuro il tuo negozio.

Caso di studio

Il problema

Il titolare di un negozio si è accorto di non aver ricevuto nessun ordine nelle ore precedenti, cosa che gli è sembrata piuttosto strana, visto che di solito riceveva più di 60 ordini al giorno.

La reazione

Il titolare si è rivolto a noi per sistemare la procedura di checkout, pensando che fosse un semplice bug facile da correggere.

Il nostro approccio

All’inizio abbiamo pensato che il bug fosse causato da un modulo installato nei giorni precedenti e abbiamo iniziato ad analizzarlo. Abbiamo subito individuato modifiche significative al codice e scoperto che il modulo di checkout originale era stato completamente sostituito da uno fraudolento.

La soluzione

A seconda che il tuo server abbia o meno Imunify360 Proactive Defense, ci sono due opzioni:

Rimozione automatica dei file compromessi con la protezione Imunify360 PROACTIVE DEFENSE (https://www.imunify360.com/getting-started-proactive-defense/, https://www.imunify360.com/imunify360/#proactive-defense-info) Non appena lo scanner in tempo reale trova file infetti sul server, questi possono essere ripuliti o eliminati immediatamente. Ogni file viene analizzato automaticamente quando viene caricato nel sistema e, se è malevolo, viene rimosso. Questo riduce i danni su un sistema non protetto ed è particolarmente utile su un sistema già infetto.
Individuazione manuale dei file malevoli Questa procedura richiede di controllare a mano i file del server alla ricerca di stringhe di codice codificate in base64 e poi rimuoverle a mano, mantenendo il negozio funzionante. In genere questi 6 file sono i più colpiti: classes/db/Db.php Il codice si trova alla fine del file e invia il valore del parametro “statistics_hash” all’indirizzo IP 106.15.179.255. classes/controller/FrontController.php Questo file viene di solito infettato modificandolo in modo che la pagina di checkout/ordine carichi un file JavaScript aggiuntivo con un nome casuale, come /js/HQf6b.js, che sostituisce la sezione di pagamento della pagina dell’ordine con un modulo personalizzato per la carta di pagamento. /public_html/js/STRANGENAME.js Questo file, aggiunto al caricamento della pagina dell’ordine, sostituisce la sezione di pagamento della pagina di checkout con un modulo di pagamento personalizzato che molto probabilmente trasferisce i fondi sul conto dell’aggressore. !!! Una volta scoperta l’infezione, questo è il file più importante da eliminare. !!! classes/modulle/module.php Anche questo file va ripulito, perché contiene codice PHP codificato che può essere usato per ricevere parametri codificati ed eseguire codice PHP codificato. controllers/admin.AdminLoginController.php Questo codice invia l’URL del pannello di amministrazione a 45.197.141.250/statystics.php, insieme all’email e alla password di accesso. app/Mage.php Contiene codice simile a quello di classes/module/module.php. Questo file va eliminato

Se sul tuo server o hosting è installata la versione gratuita di ImunifyAV, devi avviare periodicamente a mano la scansione dei file ed eliminare a mano il codice malevolo dai file infetti, perché questa versione non ha protezioni attive:

https://support.cpanel.net/hc/en-us/articles/360049068973-What-s-the-difference-between-ImunifyAV-ImunifyAV-and-Imunify360-