Razlike

Slijede razlike između dviju inačica stranice.

--- racfor_wiki:seminari2024:analiza_megacart_skimmera [2025/01/23 19:40]
Kiramarios Dario [Tko su žrtve?]
+++ racfor_wiki:seminari2024:analiza_megacart_skimmera [2025/01/26 22:05] (trenutno)
Kiramarios Dario [Link na video o Magecart skimmeru]
@@ Redak 1: / Redak 1: @@
-===== Magecart skimmer =====
+===== Analiza Magecart skimmera=====
 ==== Sažetak ===
@@ Redak 18: / Redak 18: @@
 U današnjem modernom i tehnološkom dobu gotovo svaka trgovina ima svoju digitalnu verziju trgovine. Digitalne verzije trgovina postaju sve popularnije i imaju sve veći udio u broju ostvarenih kupovina u odnosu na fizičke verzije trgovina. Magecart skimmer predstavlja jednu veliku i ozbiljnu prijetnju upravo tim e-trgovinama.
-Magecart skimmer, koji je ime dobio po **platformi za e-trgovine Magento**, je vrsta kibernetičkog napada koji primarno cilja e-trgovine trgovine mnogih firmi kako bi ukrala privatne bankovne podatke njihovih kupaca i korisnika i najčešće preprodala te podatke na raznim ilegalnim stranicama na Dark Webu.
+Magecart skimmer, koji je ime dobio po **platformi za e-trgovine Magento**, je vrsta kibernetičkog napada koji primarno napada e-trgovine mnogih firmi kako bi ukrala privatne bankovne podatke njihovih kupaca i korisnika i najčešće preprodala te podatke na raznim ilegalnim stranicama na Dark Webu.
 Cilj ovog seminara je predstaviti što je Magecart skimmer, kako funkcionira, koga pogađa te će biti spomena kako se može zaštititi od njega. Također će se analizirati dva stvarna primjera sa zaraženih stranica i razne tehnike koje su napadači koristili tijekom provođenja napada. Time će se prikazati kompleksnost napada i zašto je on bio (ili još uvijek je) tako uspješan kibernetički napad.
@@ Redak 50: / Redak 50: @@
 Zadnji korak je **eksfiltracija podataka** što podrazumijeva neki način prijenosa podataka od servera ili žrtvinog preglednika do napadača ili nekog njegovog servera. Eksfiltracija se isto može izvesti na više načina, a neki od njih su:
-  * POST zahtjev koji u sebi ima 1 naizgled običnu sliku koja zapravo u sebi ima Base64 enkodirane privatne žrtvine podatke,
+  * POST zahtjev koji u sebi ima 1 naizgled običnu sliku koja zapravo u sebi ima Base64 kodirane privatne žrtvine podatke,
   * spremanje privatnih podataka u 1 sliku koja se sprema u bazu podataka i onda napadač povremeno pristupi toj slici i preuzme ukradene podatke,
   * aktivno slanje podataka tijekom upisivanja na stranicu (korištenjem keyloggera),
@@ Redak 97: / Redak 97: @@
   * **Newegg (2018.)**: Korištena varijacija Magecart skimmera je naprednija i „pametna“ te je izgledom ubačenog malicioznog HTML koda jako dobro replicirala legitimni kod stranice i zato je bilo jako teško otkriti napad. Također je napadala Newegg sustav plaćanja. Napad je bio neotkriven preko mjesec dana.
   * **Forbes Magazine (2019.)**: Ovo je dobar pokazatelj da nisu mete samo firme gdje se upisuju osjetljive informacije, već i neke „obične“ firme. Ovdje se nisu pokušavali ukrasti podaci koji se upisuju na stranicu već podaci koji su spremljeni u preglednik osobe koja posjećuje stranicu.
-  * **Segway Store (2022.)**: Segway napad je primjer novijeg napada, ali i također evolucije infiltracije Magecart skimmera. Kod je ubačen na preko favicon slike koja je jako dugo bila neotkrivena zbog svoje jednostavnosti i neočekivane malicioznosti „obične“ favicon slike.
+  * **Segway Store (2022.)**: Segway napad je primjer novijeg napada, ali i također evolucije infiltracije Magecart skimmera. Kod je ubačen preko favicon slike koja je jako dugo bila neotkrivena zbog svoje jednostavnosti i neočekivane malicioznosti „obične“ favicon slike.
 Kao što se vidi iz raznih primjera, Magecart skimmer pogađa veliki raspon firmi, ali ima preferenciju za e-trgovinama.
@@ Redak 105: / Redak 105: @@
-Osim novčanih posljedica zbog gubitka novaca klijenata, postoje i razne zakonske kazne predviđene za gubitak povjerljivih podataka klijenta. U Europi postoji GDPR (General Data Protection Rights) koji propisuje kaznu za poduzeća do maksimalnih 4% ukupnog globalnog prometa prethodne fiskalne godine ili 20 milijuna eura, koje god je veće od tog dvoje ([[https://gdpr-info.eu/issues/fines-penalties/ |izvor 5]]). Ovisno o vrsti propusta i ozbiljnosti ukradenih informacija, ta kazna može biti i manja, ali to pokazuje koliko je zakon strog oko sigurnosti podataka i koliko su značajne posljedice. Osim kažnjavanja organizacije, također dolazi do velikog gubitka reputacije, potencijalnog bankrota, gubitka klijenata i mnogih drugih posljedica za organizaciju.
+Postoje razne zakonske kazne predviđene za gubitak povjerljivih podataka klijenta. U Europi postoji GDPR (General Data Protection Regulation) koji propisuje kaznu za poduzeća ovisno o vrsti i ozbiljnosti propusta. GDPR propisuje najveću kaznu od maksimalnih 4% ukupnog globalnog prometa prethodne fiskalne godine ili 20 milijuna eura te kao kaznu uzima veće od tog dvoje ([[https://gdpr-info.eu/issues/fines-penalties/ |izvor 5]]). Osim novčane kazne, također dolazi do velikog gubitka reputacije, potencijalnog bankrota, gubitka klijenata i mnogih drugih posljedica za organizaciju.
-Osim organizacija ispaštaju i korisnici tj. klijenti čiji su podaci ukradeni. Te osobe mogu imati velike financijske gubitke zbog ukradenih bankovnih podataka, ali mogu imati probleme sa zakonom zbog curenja osobnih podataka koje maliciozni akteri to iskorištavaju kako bi proveli krađu identiteta.
+Osim organizacija ispaštaju i korisnici tj. klijenti čiji su podaci ukradeni. Te osobe mogu imati velike financijske gubitke zbog ukradenih bankovnih podataka, ali mogu imati probleme sa zakonom zbog potencijalne krađe identiteta.
-Ukradeni bankovni ili kartični podaci se često mogu naći na Dark webu za razne cijene koje direktno ovise o kupovnoj moći te kartice. Raspon cijena je od 45$ (za netestiranu karticu) do 1000$ za kreditnu karticu koja ima limit od 15 000$. Osim kartica, mogu se prodavati i online računi na određenim stranicama pa se PayPal profili prodaju u rasponu od 20$ do 200$, a za neke online pretplatne servise od 1$ do 10$. Također se mogu kupiti i vozačke dozvole koje koštaju oko 20$, ali i putovnice koje koštaju između 1000$ i 2000$ ([[https://www.feroot.com/blog/how-magecart-e-skimming-attacks-are-accelerating|izvor 6]]).
+Ukradeni bankovni ili kartični podaci se često mogu naći na Dark Webu za varirajuće cijene koje direktno ovise o kupovnoj moći te kartice. Raspon cijena je od 45$ (za netestiranu karticu) do 1000$ za kreditnu karticu koja ima limit od 15000$. Osim kartica, mogu se prodavati i online računi na određenim stranicama pa se PayPal profili prodaju u rasponu od 20$ do 200$, a za neke online pretplatne servise od 1$ do 10$. Također se mogu kupiti i vozačke dozvole koje koštaju oko 20$, ali i putovnice koje koštaju između 1000$ i 2000$. ([[https://www.feroot.com/blog/how-magecart-e-skimming-attacks-are-accelerating|izvor 6]]).
 Sve ovo prikazuje koliko uspješni Magecart napad može biti destruktivan na firmu tj. organizaciju, ali i na pojedinca čiji su podaci ukradeni.
@@ Redak 118: / Redak 119: @@
 === Primjer 1 ===
-Cloudflareov sigurnosni tim je otkrio sumnjivu stranicu i napravio analizu te stranice. Sve je krenulo kada je naizgled obična stranica tijekom učitavanja preuzela skriptu sa čudnog izvora. Kada se analizirala skripta, otkriveno je da je obfuscirana, ali i da radi neke sumnjive stvari na stranici. No, kako je ta skripta uopće preuzeta?
+Cloudflareov sigurnosni tim otkrio je sumnjivu stranicu te sukladno tome napravio analizu cijele stranice. Stranica je otkrivena jer je naizgled obična stranica tijekom početnog učitavanja preuzela skriptu od čudnog izvora. Kada se analizirala preuzeta skripta, otkriveno je da je ona obfuscirana, ali i da radi neke sumnjive stvari na stranici. No, kako je ta skripta uopće preuzeta?
-Skripta je sakrivena u običnom skrivenom div elementu što je prikazano na slici 3.
+Skripta je sakrivena u običnom div elementu koji se ne prikazuje korisniku što je prikazano na slici 3.
 {{ :racfor_wiki:seminari2024:25-sakrivenikod.png?400 |}}
-**Slika 3**: Sakriveni div element koji u sebi ima skriptu [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
+**Slika 3**: Neprikazani div element koji u sebi ima preuzetu obfusciranu skriptu, [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
 To je već samo po sebi jako sumnjivo pa je tim istraživao dalje. Gledajući kod koji je preuzet, otkriva se da je on skroz obfusciran, jako teško čitljiv i naizgled besmislen (kod je prikazan na slici 4).
 {{ :racfor_wiki:seminari2024:25-obfusciranikod.png?600 |}}
-**Slika 4**: Obfuscirani kod [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
+**Slika 4**: Obfuscirani kod, [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
-Daljnjim istraživanjem je otkriveno na koju se stranicu šalju rezultati te skripte koja glasi „https[:]//jsdelivr\[.]at/f\[.]php“  što je jako slično i blisko ime legitimnoj stranici „https[:]//www[.]jsdelivr[.]com/“. Analizirajući tu stranicu je otkriveno mnogo toga poput datum registracije, pokušaj mijenjanja imena za točno 1 slovo ( 1 slovo razlike u odnosu na legitimno ime) te da je **1337team Limited** registrirao tu stranicu, a oni su poznati po registriranju raznih stranica upitne legalnosti. Kada se pregleda po Internetu za spominjanje 1337team Limited, svi ih spominju zbog njihove upitne legalnosti i kibernetičkog kriminala.
+Daljnjim istraživanjem je otkriveno na koju se stranicu šalju rezultati te skripte koja glasi „https://jsdelivr\[.\]at/f\[.\]php“  što je jako slično i blisko ime legitimnoj stranici „https://www[.\]jsdelivr[.\]com/“. Analizirajući stranicu na koju se šalju podaci otkriveno je mnogo toga, poput datum registracije, pokušaj mijenjanja imena za točno 1 slovo (1 slovo razlike u odnosu na legitimno ime) te da je **1337team Limited** registrirao tu stranicu. 1337team Limited je poznat po registriranju raznih stranica upitne legalnosti.
 == Dekodiranje skripte ==
@@ Redak 135: / Redak 137: @@
 {{ :racfor_wiki:seminari2024:25-funkcije.png?600 |}}
-**Slika 5**: 2 funkcije za kodiranje i dekodiranje podataka [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
+**Slika 5**: 2 funkcije za kodiranje i dekodiranje podataka, [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
-Daljnjom analizom je otkriveno da su napadači pažljivo proučavali ciljanu stranicu kako bi skriptu bolje prilagodili toj stranici radi veće efektivnosti. Na slici 6 je prikazan kod koji specifično cilja polja gdje korisnik upisuje podatke kako bi te podatke spremio i oblikovao tj. „sakrio“ za eksfiltraciju.
+Daljnjom analizom je otkriveno da su napadači pažljivo proučili ciljanu stranicu kako bi malicioznu skriptu bolje prilagodili stranici radi veće efektivnosti. Na 6. slici je prikazan kod koji specifično cilja polja gdje korisnik upisuje podatke kako bi te podatke spremio i oblikovao tj. „sakrio“ za eksfiltraciju.
 {{ :racfor_wiki:seminari2024:25-sakupljanjepodataka.png?600 |}}
 **Slika 6**: Funkcije za sakupljanje i spremanje podataka [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
-Kako bi se ti podaci poslali napadačevom serveru, oni se prvo moraju „sakriti“. Sakrivanje se radi tako da se kreira novi IMG element koji korisnik ne vidi i postavlja se //src atribut// (atribut za postavljanje adrese odakle se preuzima taj element) na URL napadačevog servera, ali i nadodaje ukradene „sakrivene“ podatke na samu sliku radi eksfiltracije podataka.
+Kako bi se ukradeni podaci poslali napadačevom serveru, oni se prvo moraju „sakriti“. Sakrivanje se radi tako da se kreira novi neprikazani tj. sakriveni HTML IMG element i postavlja //src atribut// (atribut za postavljanje adrese odakle se preuzima taj element) na URL napadačevog servera te uz to nadodaje ukradene „sakrivene“ podatke na samu sliku radi eksfiltracije podataka.
-Osim toga, skripta također ima konstantno promatranje korisnikovog upisivanja dokle god je korisnik na samoj stranici. Upisani podaci se ujedno spremaju i u Local Storage (spremaju se u memoriju korisnikovog preglednika) radi konzistentnosti u slučaju iznenadnog gašenja preglednika (prikazano na slici 7).
+Osim toga, skripta također ima konstantno promatranje korisnikovog upisivanja dokle god je korisnik aktivan na stranici. Upisani podaci se ujedno spremaju i u Local Storage (spremaju se u memoriju korisnikovog preglednika) radi konzistentnosti u slučaju iznenadnog gašenja preglednika (prikazano na slici 7).
 {{ :racfor_wiki:seminari2024:25-localstorage.png?600 |}}
-**Slika 7**: Spremanje podataka u LocalStorage [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
+**Slika 7**: Spremanje podataka u LocalStorage, [[https://blog.cloudflare.com/navigating-the-maze-of-magecart/|Izvor]]
-Ovo je bio prvi primjer relativno naprednog Magecart skimmera koji je specifično prilagođen određenoj stranici kako bi mogao bolje i manje primjetno ukrasti korisnikove podatke.
+Ovo je bio prvi primjer relativno naprednog Magecart skimmer napada koji je specifično prilagođen određenoj stranici kako bi mogao bolje i manje primjetno ukrasti korisnikove podatke.
 === Primjer 2 ===
-Ovaj primjer nam prikazuje još jednu varijaciju Magecart napada, ali ova varijacija je puno zanimljivija jer iskorištava **404 error** stranice za sakrivanje maliciozne skripte.
+Ovaj primjer nam prikazuje još jednu varijaciju Magecart napada, ali ova varijacija je puno zanimljivija jer koristi **404 error** stranice za sakrivanje maliciozne skripte.
-Stranica je direktno zaražena od strane napadača pa se pretpostavlja da je korak infiltracije odrađen. Prije učitavanja i aktiviranja malicioznog koda, učitavač koda (code loader) se pokušava sakriti u ostatak legitimnog HTML koda stranice i pokušava se prikazati kao legitimni Meta Pixel kod. Meta Pixel je poznati Metin servis za praćenje aktivnosti posjetitelja na drugim stranicama. Na slici 8 je prikazan maliciozni isječak koda i istaknut je dio koji pokušava dohvatiti neki element sa relativnog puta **/icons/** koji ne postoji što će rezultirati sa 404 error.
+Stranica je direktno zaražena od strane napadača pa se pretpostavlja da je korak infiltracije odrađen.
+Prije učitavanja i aktiviranja malicioznog koda, učitavač koda (eng. //code loader//) se pokušava sakriti u ostatak legitimnog HTML koda stranice i pokušava se prikazati kao legitimni Meta Pixel kod. Meta Pixel je poznati Metin servis za praćenje aktivnosti posjetitelja na drugim stranicama. Na slici 8 je prikazan maliciozni isječak koda i istaknut je dio koji pokušava dohvatiti neki element sa relativnog puta **/icons/** koji ne postoji što rezultira 404 error stranicom.
 {{ :racfor_wiki:seminari2024:5-trecavarijacijameta.png?600 |}}
-**Slika 8**: Maliciozni Meta Pixel kod koji pokušava dohvatiti neposotjeći /icons/ put [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 8**: Maliciozni Meta Pixel kod koji pokušava dohvatiti nepostojeći /icons/ put, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
 No, čemu to služi i zašto skripta namjerno pokušava dohvatiti nešto što ne postoji? Stvar je u tome što je to ciljano ponašanje ove varijacije Magecart skimmera. Nakon što se sve učita i stranica pokuša dohvatiti nepostojeći resurs, izbaciti će se **404 Not Found error** što je naizgled nevino. Ono što se zapravo u pozadini događa je prikazano na slici 9. Kod sa slike se aktivira tijekom prikazivanja error stranice i on traži poklapanje sa zadanim regularnim izrazom (**COOKIE_ANNOT**) u HTML kodu na stranici na koju se vraća.
 {{ :racfor_wiki:seminari2024:5-trecavarijacija.png?600 |}}
-**Slika 9**: Poklapanje regex izraza u ostatku stranice pri prikazivanju 404 Not Found error stranice [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 9**: Poklapanje regularnog izraza u ostatku stranice pri prikazivanju 404 Not Found error stranice, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
-Daljnjim istraživanjem HTML koda stranice se otkriva zašto je ta skripta tražila točno taj regularni izraz. Na slici 10 je prikazan HTML komentar u stranici koji je dug točno 1 liniju i započinje sa COOKIE_ANNOT i dodatno sadrži Base64 kodirani tekst koji je zapravo sakriveni maliciozni JavaScript kod. Pronalaskom komentara maliciozni kod uzima Base64 kodirani tekst, dekodira ga i izvede kod koji je zapravo Magecart skimmer napad.
+Daljnjim istraživanjem HTML koda stranice se otkriva zašto je ta skripta tražila točno taj regularni izraz. Na slici 10 je prikazan HTML komentar u stranici koji je dug točno 1 liniju i započinje sa COOKIE_ANNOT i dodatno sadrži Base64 kodirani tekst koji je zapravo sakriveni maliciozni JavaScript kod. Pronalaskom komentara maliciozni kod uzima Base64 kodirani tekst, dekodira ga i izvede JavaScript kod koji je zapravo Magecart skimmer napad.
 {{ :racfor_wiki:seminari2024:5-errorpage.png?600 |}}
-**Slika 10**: Sakriveni COOKIE_ANNOT komentar sa Base64 sakrivenim JavaScript malicioznim kodom [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 10**: Sakriveni COOKIE_ANNOT komentar sa Base64 sakrivenim JavaScript malicioznim kodom, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
 Nakon učitavanja malicioznog koda, napadač dolazi do žrtvinih podataka preko lažne forme. Napadač računa da se krađa podataka može napraviti trenutak prije nego web stranica iskoristi uslugu plaćanja treće strane koja implementira obrazac plaćanja unutar iframea ili otvaranjem novog i sigurnog prozora. Kako bi napadač to zaobišao, on kreira lažnu formu za upis podataka koja je vizualno identična stvarnoj formi i stavi ju **preko originalne forme** (tako se originalna forma ne vidi, ali postoji u HTML kodu) i to je vidljivo na slici 11.
 {{ :racfor_wiki:seminari2024:5-fakeforma2.png?600 |}}
-**Slika 11**: Umetanje lažne maliciozne forme preko originalne forme za upis podataka [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 11**: Umetanje lažne maliciozne forme preko originalne forme za upis podataka, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
-Kako to izgleda kada korisnik upiše podatke u lažnu formu je prikazano na sljedećem primjeru (Slika 12). Dakle korisnik upiše svoje podatke u lažnu formu, stranica javi kako je došlo do problema i da treba opet upisati podatke i onda opet prikaže formu. No, ono što korisnik ne primijeti je da je prva forma bila lažna maliciozna forma, a druga forma je ona legitimna i zato će drugi pokušaj plaćanja uspjeti, a prvi će korisniku ukrasti podatke.
+Kako to izgleda kada korisnik upiše podatke u lažnu formu je prikazano na sljedećem primjeru (Slika 12). Korisnik upiše svoje podatke u lažnu formu, stranica javi kako je došlo do problema i da treba opet upisati podatke i onda opet prikaže formu. Ono što korisnik ne primijeti je da je prva forma bila lažna maliciozna forma, a druga forma je legitimna i zato će drugi pokušaj plaćanja uspjeti, a prvi će korisniku ukrasti podatke.
 {{ :racfor_wiki:seminari2024:5-fakeformagif.gif?600 |}}
-**Slika 12**: Primjer interakcije sa lažnom formom [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 12**: Primjer interakcije sa lažnom formom, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
 Što se eksfiltracije tiče, to je relativno lagano i jednostavno odrađeno. Maliciozni kod kodira sve ukradene podatke koristeći Base64 i kreira zahtjev usmjeren prema napadačevom serveru i te kodirane podatke nadoda u zahtjev kao jedan od parametara. Ako se pogleda ručno i dekodira zahtjev, vidi se što točno piše unutra tj. koji su ukradeni podaci i to je prikazano na slici 13.
 {{ :racfor_wiki:seminari2024:5-fakeformaeksfiltracijapodataka.png?600 |}}
-**Slika 13**: Primjer kodiranih ukradenih podataka koji se šalju na napadačev server [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
+**Slika 13**: Primjer kodiranih ukradenih podataka koji se šalju na napadačev server, [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer/|Izvor]]
@@ Redak 192: / Redak 196: @@
 === Izbjegavanje otkrivanja u virtualnoj mašini ===
-Jedan od ciljeva skoro svakog napada je ostati neotkriven pa je tako i Magecart napredovao kako bi postao teži za otkriti u pregledniku. Magecart skimmer koristi **WebGL JavaScript API** za provjeravanje u kojem se pregledniku pokreće te pokreće li se taj preglednik u virtualnoj mašini. To radi kako bi mogao točno identificirati tko su prave potencijalne žrtve, a tko su zapravo istražitelji koji pokušavaju odgonetnuti kako taj napad radi.
+Jedan od ciljeva skoro svakog napada je ostati neotkriven pa je tako i Magecart napredovao kako bi postao teži za otkriti u pregledniku. Magecart skimmer koristi **WebGL JavaScript API** za provjeravanje u kojem se pregledniku pokreće te pokreće li se taj preglednik u virtualnoj mašini. Provjera se radi kako bi se moglo točno identificirati tko su prave potencijalne žrtve, a tko je zapravo istražitelji koji pokušava odgonetnuti kako taj napad radi.
-Koristeći WebGL JavaScript API može otkriti koji se grafički prikazatelj (eng. //graphics renderer// ) koristi. Mnoge virtualne mašine ne koriste prave grafičke kartice već koriste softverske varijacije tih //renderera// što je očiti znak za napadača. Specifično, otkrivanjem imena poput **swiftshader, llvmpipe** ili **virtualbox** napadač postaje svjestan da se maliciozni kod izvršava u virtualnoj mašini. Google Chrome koristi Swiftshader, a Firefox se oslanja na llvmpipe kao grafički renderer kada nema pristup pravoj grafičkoj kartici, dok samo ime virtualbox otkriva da ga koristi virtualna mašina.
+Koristeći WebGL JavaScript API, skripta može otkriti koji se grafički prikazatelj (eng. //graphics renderer// ) koristi. Mnoge virtualne mašine ne koriste prave grafičke kartice već koriste softverske varijacije tih //renderera// što je očiti znak za napadača da se radi o virtualnoj mašini. Specifično, otkrivanjem imena poput **swiftshader, llvmpipe** ili **virtualbox** napadač postaje svjestan da se maliciozni kod izvršava u virtualnoj mašini. Google Chrome koristi Swiftshader, a Firefox se oslanja na llvmpipe kao grafički renderer kada nema pristup pravoj grafičkoj kartici, dok samo ime virtualbox otkriva da ga koristi virtualna mašina.
-Na slici 14 je prikazan isječak koda na kojem je vidljivo kako se koristeći JavaScript provjerava koji je grafički renderer internetske stranice. Ovisno o tome jesu li pronađene riječi ili ne, odlučuje se kako će napad dalje ići. Ako su pronađene riječi, napad staje i ne događa se Magecart skimmer napad, no ako ih ne pronađe, onda se nastavlja i događa se krađa podataka.
+Na slici 14 je prikazan isječak koda na kojem je vidljivo kako se koristeći JavaScript provjerava koji je grafički renderer internetske stranice. Ovisno o tome jesu li pronađene riječi ili ne, odlučuje se kako će napad dalje ići. Ako su pronađene riječi, napad staje i ne događa se Magecart skimmer napad, no ako ih ne pronađe, onda se napad nastavlja.
 {{ :racfor_wiki:seminari2024:23-detection.png?600 |}}
@@ Redak 204: / Redak 208: @@
 {{ :racfor_wiki:seminari2024:23-skimmer.png?600 |}}
-**Slika 15** Kod za Magecart skimmer, [[https://www.malwarebytes.com/blog/threat-intelligence/2021/11/credit-card-skimmer-evades-virtual-machines|Izvor]]
+**Slika 15** Magecart skimmer kod, [[https://www.malwarebytes.com/blog/threat-intelligence/2021/11/credit-card-skimmer-evades-virtual-machines|Izvor]]
 Također, kod može biti prilagođen da otkriva pokreće li se na Windows ili Linux uređaju pa se tako može još bolje prilagoditi ciljanoj publici.
@@ Redak 211: / Redak 215: @@
 === Dinamičko ubacivanje koda ===
-Kako bi Magecart skimmer bio sveobuhvatniji i općenitiji te lakši za korištenje napadačima, postoje varijacije koje su napravljene da dinamički „ubace“ unaprijed generiranu HTML formu na stranicu. Kod dinamički pronalazi ciljano mjesto na stranici gdje se upisuju informacije i tamo ubacuje malicioznu formu. Na slici 16 je prikazan JavaScript kod koji dinamički ubacuje HTML formu za Magecart skimmer napad. Kod prvo identificira gdje se treba „ubaciti“ kako bi osigurao vjerodostojnost i legitimni izgled. Koristeći metode **createElement** i **appendChild** nadodaje se nova maliciozna forma na stranicu bez da korisnici to primijete
+KKako bi Magecart skimmer bio sveobuhvatniji i općenitiji te lakši za korištenje napadačima, postoje varijacije koje su napravljene da dinamički „ubace“ unaprijed generiranu HTML formu na stranicu. Kod dinamički pronalazi odgovarajuće mjesto na stranici gdje se upisuju informacije i tamo ubacuje malicioznu formu. Na slici 16 je prikazan JavaScript kod koji dinamički ubacuje HTML formu za Magecart skimmer napad. Kod prvo identificira mjesto „ubacivanja“ kako bi povećao uvjerljivost napada. Koristeći metode **createElement** i **appendChild** nadodaje se nova maliciozna forma na stranicu bez da korisnici to primijete
 {{ :racfor_wiki:seminari2024:15-primjerkoda.png?600 |}}
-**Slika 16** JavaScript kod za dinamičko ubacivanje HTML forme, [[https://medium.com/@0x_b0mb3r/technical-analysis-magecart-skimmer-da099d897e38|Izvor]]
+**Slika 16** JavaScript kod koji dinamički ubacuje HTML formu na stranicu, [[https://medium.com/@0x_b0mb3r/technical-analysis-magecart-skimmer-da099d897e38|Izvor]]
 Na slici 17 je prikazana stranica bez Magecart skimmera, a na slici 18 sa dinamički ubačenim Magecart skimmerom.
@@ Redak 228: / Redak 232: @@
 === Izbjegavanje otkrivanja u razvojnim alatima ===
-Još jedan od načina samoodržavanja Magecart skimmera je izbjegavanje otkrivanja u razvojnim alatima (eng. developer tools). Cilj je što više odbiti korisnika da ne gleda sa razvojnim alatima po samom HTML kodu stranice i to pokušava postići sa raznim upozorenjima i lažnim problemima. Kod koji upravo to radi je prikazan na slici 19. Kod također nadjačava (eng. //override//) konzolu tako da mijenja metode kako bi analitičare zaustavio u pregledavanju samog koda.
+Još jedan od načina sakrivanja Magecart skimmera je izbjegavanje otkrivanja u razvojnim alatima (eng. developer tools). Cilj je što više odbiti korisnika da ne gleda HTML kod stranice koristeći razvojne i to pokušava postići raznim upozorenjima i lažnim „problemima“. Kod koji to radi je prikazan na slici 19. Kod također nadjačava (eng. //override//) konzolu tako da mijenja metode kako bi analitičare zaustavio u pregledavanju samog koda.
 {{ :racfor_wiki:seminari2024:15-antidebugging.png?600 |}}
 **Slika 19** Kod za izbjegavanje otkrivanja, [[https://medium.com/@0x_b0mb3r/technical-analysis-magecart-skimmer-da099d897e38|Izvor]]
-Također je moguće raditi agresivnije verzije izbjegavanja otkrivanja poput ponovnog učitavanja cijele stranice ili više upozorenja i slično, no to bi sigurno bilo puno sumnjivije da se stranica tako počne ponašati.
+Također je moguće raditi agresivnije verzije izbjegavanja otkrivanja poput ponovnog učitavanja cijele stranice ili prikazivanja više upozorenja i slično, no to bi sigurno bilo puno više sumnjivo.
@@ Redak 240: / Redak 244: @@
 ==== Kako se zaštititi i obraniti? ====
-Magecart skimmer zahtjeva složeni pristup koji uključuje više od 1 procedure ili mjera za obranu. Postoji više načina obrane od Magecart skimmera, a neki će biti objašnjeni u nastavku teksta. Što se same obrane tiče, postoje dva aspekta obrane, jedan je obranu na strani firme, a drugi je obrana na strani korisnika.
+Magecart skimmer zahtjeva složeni pristup obrani koji uključuje više od jedne procedure ili mjera za obranu. Postoji više načina obrane od Magecart skimmera, a neki će biti objašnjeni u nastavku teksta. Što se same obrane tiče, postoje dva aspekta obrane, jedan je obranu na strani firme, a drugi je obrana na strani korisnika.
-Obrana za firmu:
+Obrana na strani firme:
   * **Redovita nadogradnja sigurnosnih zakrpi sustava**: Sigurnosne zakrpe se izdaju s razlogom i kada se objave, firme (ali i korisnici) bi ih trebali implementirati što je ranije moguće.
   * **Izbjegavanje korištenje starih i nezakrpanih sustava**: Korištenjem starih sustava koji više nemaju sigurnosne zakrpe je veliki rizik u slučaju da se otkrije nova ranjivost koja se neće zakrpati.
   * **Oprezno koristiti strani kod**: Neizbježno je koristiti tuđe kodove sa Interneta, ali prije nego što se koristi taj kod, treba provjeriti njegovu autentičnost i sigurnost kako bi se izbjeglo nenamjerno učitavanje malicioznih skripta. Također treba postaviti ograničenja na taj kod i čemu on sve smije pristupiti na stranici i u pregledniku.
-  * **Implementacija barem 2FA**: Implementacija barem 2 Factor Authentification postaje de facto standard u kibernetičkoj sigurnosti, ali korištenje Multi Factor Authentification (MFA) je također preporučeno kako bi se zaštitio neautorizirani pristup osjetljivim podacima ili bazama podataka.
+  * **Implementacija barem 2FA**: Implementacija barem 2 Factor Authentification (2FA) postaje //de facto// standard u kibernetičkoj sigurnosti, ali korištenje Multi Factor Authentification (MFA) je također preporučeno kako bi se spriječio neautorizirani pristup osjetljivim podacima ili bazama podataka.
-  * **Automatizirano praćenje i analiziranje prometa**: Treba implementirati alate koji analiziraju mrežni promet kako bi alat javio ako se događa bilo što sumnjivo na stranici.
+  * **Automatizirano praćenje i analiziranje prometa**: Treba implementirati automatizirane alate koji analiziraju mrežni promet i prijavljuju sumnjive događaje na stranici.
   * **Implementirati Content Security Policy (CSP)**: Implementacijom CSP-a administrator postavlja ograničenja na mogućnosti određenog preglednika i na izvršavanje neovlaštenih skripti te se također može postaviti lista dozvoljenih mjesta/lokacija odakle se može raditi eksfiltracija podataka.
   * **Sigurnosni testovi**: Implementacija sigurnosnih testova na vlastitim stranicama je dobra praksa te uz korištenje raznih alata koji skeniraju i identificiraju maliciozne JavaScript kodove je jako dobar način za očuvanje sigurnosti stranice.
   * **Segmentacija sustava**: Sustav se segmentira te treba određena razina ovlasti za pristup određenim podacima na sustavu. To se radi najčešće prema principu najmanjeg prava radi sigurnosti.
-  * **Skeniranje klijentske strane**: Skeniranjem klijentske strane i koda koji se izvršava na klijentskoj strani uveliko povećava sigurnost jer bi se tako mogao otkriti maliciozni kod koji se ne izvršava na strani servera.
+  * **Skeniranje klijentske strane**: Skeniranjem klijentske strane i koda koji se izvršava na klijentskoj strani uveliko povećava sigurnost jer bi se tako mogao otkriti maliciozni kod koji se ne izvršava na serverskoj strani.
-  * **Implementacija sigurnosti od početka**: Sigurnost treba biti implementirana od početka, a ne naknadna misao tijekom kreiranja stranice
+  * **Implementacija sigurnosti od početka**: Sigurnost treba biti implementirana od početka, a ne biti implementirana kao naknadna misao tijekom kreiranja stranice
-Obrana za korisnika:
-  * **Provjera sigurnosti web stranica**: Korisnici bi trebali koristiti samo HTTPS stranice koje također imaju validne certifikate zbog sigurnosti.
+Obrana na strani korisnika:
+  * **Provjera sigurnosti web stranica**: Korisnici bi trebali koristiti samo HTTPS stranice koje također imaju validne certifikate radi sigurnosti.
   * **Upotreba virtualnih kartica**: Korištenjem virtualnih jednokratnih kartica bi se u potpunosti smanjio učinak Magecart napada na bankovne informacije jer kartica službeno ne postoji nakon što se jednom iskoristi.
-  * **Koristiti sigurne sustave plaćanja**: Sustavi poput PayPal, Apple Pay i Amazon Pay su sustavi koji imaju implementiranu sigurnost u svojim sustavima te imaju aktivno praćenje protiv krađe podatka, ali i tijekom transakcija predaju minimalnu količinu podataka samim e-trgovinama radi sigurnosti i privatnosti kupaca.
+  * **Koristiti sigurne načine plaćanja**: Sustavi poput PayPal, Apple Pay i Amazon Pay su sustavi koji imaju implementirane sigurnost okvire te imaju aktivno praćenje protiv krađe podatka. Također tijekom transakcija predaju minimalnu količinu podataka samim e-trgovinama radi sigurnosti i privatnosti kupaca.
   * **Korištenje prepaid kartica**: Korištenjem prepaid kartica nije najsigurnija stvar, pogotovo ako se ukradu podaci i pogodi trenutak kada su novci na kartici no ako se kartica „nadopuni“ trenutak prije same legitimne kupovine, to je isto veći stupanj sigurnosti nego direktna kupovina sa kreditnom karticom.
   * **Praćenje bankovnih transakcija**: Aktivnim praćenjem vlastitih bankovnih transakcija se može primijetiti je li došlo do potencijalne krađe bankovnih podataka ili ne.
-Ovo su samo neke od tehnika za obranu firmi, ali i klijenata od Magecart skimmer napada. Neke tehnike su ciljano protiv Magecart skimmer napada, a neke su općenite dobre prakse sigurnosti koje također štite i od Magecart skimmer napada.
+Ovo su samo neke od tehnika za obranu od Magecart skimmer napada na strani firme, ali i strani klijenata. Neke tehnike su ciljano protiv Magecart skimmer napada, a neke su općenite dobre prakse za sigurnost koje također štite i od Magecart skimmer napada.
 ==== Zaključak ====
@@ Redak 267: / Redak 272: @@
 Magecart skimmer predstavlja ozbiljnu i realnu prijetnju modernom digitalnom svijetu, pogotovo u području e-trgovina. Ova prijetnja je utoliko opasnija zbog svoje konstantne evolucije u načinima provođenja napada. Osim što dovodi do financijskih gubitaka žrtava i firmi, dovodi i do gubitaka povjerenja u cijeli sustav e-trgovina i mnogih drugih problema.
-Analizirajući primjere stvarnih napada jasno je koliko je Magecart skimmer opasan napad zbog svojeg efikasnog skrivanja te preuzimanja zbog svega jedne nesigurne linije u kodu stranice. Koristeći napredne tehnike Magecart skimmer se „sakriva“ od istražitelja i otežava otkrivanje  što je veliki sigurnosni problem za Internet.
+Analizirajući primjere stvarnih napada jasno je koliko je Magecart skimmer opasan napad zbog efikasnog sakrivanja te preuzimanja zbog svega jedne nesigurne linije u kodu stranice. Koristeći napredne tehnike Magecart skimmer se „sakriva“ od istražitelja i otežava otkrivanje što je veliki sigurnosni problem za Internet.
-Organizacije moraju kontinuirano ulagati u sigurnost ne samo svojih uređaja i servera na kojima se pokreće stranica i baze podataka, već se mora i zaštiti klijentska strana jer Magecart skimmer najčešće upravo tamo i napada. Također, osim organizacija i sami korisnici moraju biti svjesni prijetnje i trebali bi razmisliti o načinima kako sebe zaštititi.
+Organizacije moraju kontinuirano ulagati u sigurnost ne samo svojih uređaja i servera na kojima se pokreće stranica i baze podataka, već se mora i zaštiti klijentska strana jer Magecart skimmer najčešće upravo tamo i napada. Također, osim organizacija i sami korisnici moraju biti svjesni prijetnje i trebali bi razmišljati o načinima kako bi sebe zaštitili.
 Analiziranjem velike količine Magecart skimmer napada i provođenjem sigurnosnih edukacija te implementiranjem sigurnosnih sustava i raznih sigurnosnih politika se može smanjiti utjecaj Magecart skimmer napada. Time se osigurava sigurniji digitalni prostor za sve korisnike i firme.
@@ Redak 275: / Redak 280: @@
 ==== Gdje se može više pročitati i naučiti? ====
-Postoje mnogi kvalitetni izvori koji su korišteni tijekom pisanja ovog seminara i svi su navedeni u literaturi. Osim tih izvora, postoje neki nespomenuti izvor, a autor teksta ih je obradio tijekom istraživanja za ovu temu. Neki dobri i kvalitetni članci o Magecart skimmer napadu su:
+Postoje mnogi kvalitetni izvori koji su korišteni tijekom pisanja ovog seminara i svi su navedeni u literaturi. Osim tih izvora, postoje neki nespomenuti izvori, a autor teksta ih je obradio tijekom istraživanja ove teme. Neki dobri i kvalitetni članci o Magecart skimmer napadu su:
   * Generalni pregled Magecart skimmer napada i vizualizacija napada, izvor: [[https://blog.bushidotoken.net/2020/01/deep-dive-magecart-collective.html]]
   * Prikaz zašto JavaScript i GitHub nisu uvijek sigurni, izvor: [[https://www.feroot.com/blog/magecart-and-e-skimming-why-javascript-and-github-arent-always-safe/]]
   * Skimmer pronađen u slici na GitHub repozitoriju, izvor: [[https://blog.sucuri.net/2020/07/skimmers-in-images-github-repos.html]]
-  * Detaljna analiza više primjera cijelog Magecart skimmer napada, već je naveden u literaturi, ali stavljam posebni naglasak na ovaj članak jer je jako dobar i detaljan, izvor: [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer]]
+  * Detaljna analiza više primjera cijelog Magecart skimmer napada, već je naveden u literaturi, ali stavljam posebni naglasak na ovaj članak jer je detaljan, izvor: [[https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer]]
 ==== Link na video o Magecart skimmeru ====
 Link na video o Magecart skimmeru koji vodi na OneDrive folder u kojem je video:
-LINK
+[[https://1drv.ms/f/s!AjSAwHQdrh1BxpUDUMmdIlA-v2Dx0w?e=byoPAh|OneDrive link]]
+Na linku su dva videa, jedan sa titlovima i jedan bez titlova.
 ==== Literatura ====

racfor_wiki/seminari2024/analiza_megacart_skimmera.1737661258.txt.gz · Zadnja izmjena: 2025/01/23 19:40 od Kiramarios Dario