I dati delle carte di credito - così adoperate per gli acquisti nel web - sono tra le prede preferite dai criminali informatici, per motivi ovvi.

Uno dei metodi più comuni per impossessarsi di tali informazioni consiste nel violare un sito web (di e-commerce o di servizi) aggiungendo al suo codice un JavaScript che sottragga le informazioni di pagamento quando un utente legittimo effettua un acquisto.

Malwarebytes ha di recente segnalato l'apparizione di una variante particolare di questa tecnica.

Non perderti anche:

Microsoft: serve una Convenzione di Ginevra digitale

Sony e Universal contro i 78 giri dell'Internet Archive

La verità sul “massiccio attacco hacker” di cui tutti parlano

Gli hacker adesso si affidano alla IA per creare malware

La particolarità sta nel fatto che lo script adoperato per catturare i dati delle carte di credito non è inserito nel codice delle pagine del sito, ma nei dati Exif della favicon.

La favicon, per chi non lo sapesse, è quella piccola icona che identifica un sito, generalmente mostrata nell'angolo superiore sinistro della scheda in cui detto sito è caricato.

Gli Exif (Exchangeable Image File Format) sono dati che si possono incorporare in un'immagine: di solito si tratta di informazioni quali il nome dell'autore, informazioni relativi alla fotocamera o sulla posizione (se si tratta di una fotografia), avvertenze circa il copyright e cose del genere.

Nel caso dell'attacco scoperto da Malwarebytes, invece, c'è uno skimmer software, realizzato sempre in JavaScript.

Nei casi individuati, gli autori della violazione del sito si limitano quindi ad aggiungere al codice un piccolo script che carica una favicon esterna e fa poco altro; è quest'ultima poi a compiere il lavoro sporco una volta che viene caricata dai Pc dei visitatori.

Così, ogni volta che viene caricata una pagina per gli acquisti, le informazioni della carta di credito vengono copiate e inviate agli autori dello script.

Come si può intuire, questa particolare tecnica rende più difficile l'individuazione del codice malevolo, poiché esso non è presente nel sito in sé: i software di sicurezza e anche gli sviluppatori possono fare molta più fatica ad accorgersi che c'è qualcosa che non va.

Secondo Malwarebytes, dietro a questo tipo di attacchi c'è il gruppo di hacker noto come Magecart 9, un gruppo di criminali informatici noto per aver in passato già sfruttato in modo creativo alcune tecnologie apparentemente innocue (come WebSocket) al fine di nascondere i propri script.