Magecart est toujours là : le JavaScript malveillant continue de progresser.

Ces derniers mois, de nombreux rapports ont fait état de nouvelles campagnes d'attaques de sites web utilisant du JavaScript malveillant injecté.

• Hacker News a fait état d'une campagne de détournement de formulaires à grande échelle Une faille de sécurité a été exploitée : du code JavaScript furtif a été injecté pour miner des cryptomonnaies sur les machines des utilisateurs finaux, affectant plus de 3 500 sites web.
• GBHackers a mis en lumière une nouvelle campagne de style Magecart L'attaque visait les formulaires de paiement en ligne. Dans ce cas précis, les attaquants utilisaient du JavaScript fortement obscurci pour s'introduire dans les champs de saisie des paiements, capturer des données sensibles et les exfiltrer vers des serveurs qu'ils contrôlaient. Des chercheurs en sécurité ont confirmé que des dizaines de sites de commerce électronique contenaient la balise de script malveillante, ce qui indique un déploiement généralisé et coordonné.

Dans les deux cas, les sites web victimes ont été compromis par des attaques ciblant la chaîne d'approvisionnement. Au lieu de s'introduire directement sur chaque site, les attaquants ont infiltré une ou plusieurs dépendances en amont (telles que des scripts tiers, des plugins ou des réseaux de diffusion de contenu) qui ont ensuite propagé du code malveillant à tous les sites web en aval. Cette approche est attrayante pour les attaquants car une seule compromission peut permettre d'atteindre des milliers de cibles simultanément.

Renforcez vos applications web dès aujourd'hui avec Digital.ai Application Security pour le Web.

Démonstration de la plateforme

Pourquoi Magecart est toujours pertinent

Bien que Magecart ait été identifié il y a des années, il représente encore aujourd'hui une menace majeure. Les techniques ont évolué, mais l'objectif reste le même : voler discrètement les données de paiement des clients lors du processus de validation de la commande. Ce qui rend Magecart particulièrement persistant, c'est que… exploite la manière dont les sites web modernes sont construits, s'appuyant fortement sur du code tiers pour les paiements, les analyses, les publicités et les améliorations de l'expérience utilisateur.

Pour les attaquants, Magecart est efficace car il :

• Cible les données à forte valeur ajoutée: numéros de carte de crédit, adresses de facturation et informations d'authentification.
• Utilise la furtivitéLes scripts malveillants sont souvent obscurcis et déguisés en ressources légitimes.
• Échelle bien: compromettre un seul prestataire de paiement ou une seule dépendance peut avoir des répercussions sur des milliers d'entreprises.

Pour les entreprises, l'impact dépasse la simple perte financière. Les attaques Magecart peuvent entraîner des conséquences réglementaires (par exemple, la non-conformité à la norme PCI DSS), une atteinte à la réputation et une perte de confiance des clients. Un seul incident peut suffire à nuire durablement à l'image de marque.

Stratégies de défense contre les attaques ciblant la chaîne d'approvisionnement JavaScript

Se protéger contre ce type d'attaques exige une stratégie de défense multicouche. Aucune mesure de contrôle ne peut à elle seule stopper toutes les variantes, mais la combinaison de bonnes pratiques réduit considérablement les risques.

• Surveiller les modifications du script – Effectuer régulièrement des analyses et une surveillance <script> Vérifiez la présence de balises sur vos sites web. L'ajout soudain de scripts inconnus, la modification des domaines sources ou l'obfuscation de code peuvent être des signes avant-coureurs d'une compromission. Les outils de surveillance automatisés peuvent alerter les équipes en temps réel.
• Appliquer la politique de sécurité du contenu (CSP) Une politique de sécurité du cloud (CSP) correctement configurée permet de limiter les sources de chargement des scripts, réduisant ainsi le risque d'exécution de code malveillant. Par exemple, restreindre les scripts aux domaines de confiance complique l'exécution de code injecté depuis des sources inconnues.
• Utiliser l'intégrité des sous-ressources (SRI) L’ajout de hachages SRI aux scripts tiers garantit que la ressource chargée par le navigateur correspond au hachage cryptographique attendu. Si un attaquant modifie le script en amont, le navigateur le bloquera.
• Adopter l'autoprotection des applications d'exécution (RASP) Les solutions RASP assurent la surveillance en temps réel et le blocage des activités suspectes. Elles peuvent empêcher les modifications non autorisées du DOM, détecter les requêtes réseau inattendues et bloquer l'exfiltration de données sensibles. Pour les organisations souhaitant renforcer ce niveau de protection, des solutions comme Digital.ai's Application Security pour le Web permet d'ajouter de la visibilité et de la protection directement dans l'environnement du navigateur sans nécessiter de modifications architecturales majeures.
• Audit et minimisation des dépendances Moins votre site dépend de scripts tiers, plus sa surface d'attaque est réduite. Examinez régulièrement vos dépendances, supprimez les bibliothèques inutilisées et évaluez soigneusement les nouvelles.
• Préparation à la réponse aux incidents – Même avec les meilleures défenses, des compromissions peuvent toujours se produire. Disposer d'un plan de réponse aux incidents, comprenant la suppression rapide des scripts malveillants, des procédures de notification et une enquête forensique, contribue à minimiser les dommages.

Les sites web ne sont pas les seules cibles

La portée des attaques de type Magecart s'étend au-delà des sites web traditionnels. Dans un violation du site web de British Airways en 2018Des attaquants ont injecté du code JavaScript malveillant ciblant une page de paiement. Cependant, l'application mobile de la compagnie aérienne partageant une partie du même code compromis, l'impact a été encore plus important. Par conséquent, les clients utilisant à la fois le site web et l'application mobile ont été exposés. Cet incident souligne la nécessité pour les organisations de protéger tous leurs canaux numériques, notamment grâce à des défenses web robustes. et complet renforcement des applications mobiles.

Alors quoi maintenant?

Les injections JavaScript malveillantes, que ce soit pour le minage de cryptomonnaies ou l'écrémage de type Magecart, ne vont pas partir.

Le problème sous-jacent est structurel : la chaîne d’approvisionnement du web est vaste, interdépendante et souvent opaque. Pour les entreprises, cela implique de reconnaître le modèle de responsabilité partagée : la sécurité ne se limite pas à la sécurisation des systèmes internes, mais englobe également la surveillance et le contrôle du code externe dont elles s’appuient.

En combinant une surveillance proactive, des politiques strictes appliquées par le navigateur, la gestion des dépendances et la protection en temps réel, les organisations peuvent réduire considérablement leur exposition aux menaces. Face à l'innovation constante des attaquants, garder une longueur d'avance exige une vigilance technique sans faille et un engagement fort de la direction pour faire de la sécurité web une priorité.