Magecart внедрила скиммер в страницы оплаты Convertr
Бразильская группировка Magecart скомпрометировала страницы оформления заказа Convertr и внедрила скиммер, который перехватывает платёжные данные только на страницах checkout.convertr. Скрипт собирает номера карт, сроки действия, коды CVV, имена держателей карт и бразильские налоговые номера CPF, а затем передаёт данные на 1x0.is.
Скиммер получает данные как из формы заказа, так и из запросов к платёжному API Convertr. Первая зафиксированная версия от 24 октября использовала универсальные шаблоны полей. Через два дня появилась новая версия, нацеленная на конкретные имена полей API.
Это первая выявленная атака Magecart на цепочку поставок. Ранее группировка компрометировала магазины по отдельности. Её скимеры обнаруживали в бразильских магазинах на платформах Magento, OpenCart и WooCommerce; по сообщениям, некоторые заражения сохранялись почти два года.
К типичным приёмам группировки относятся отправка украденных данных в виде записи с разделителем | и тегом жертвы, использование конечных точек с названиями на португальском языке, например cartao.php и pagamento.php, а также ротация коротких доменов в зоне .is. Другие варианты скиммера используют вебхуки Discord или скрипты, размещённые на скомпрометированных магазинах. Группировка также атакует бразильские платёжные сервисы и применяет вариант, который заменяет QR-коды PIX.
Предположительно, точкой входа стала не обновлявшаяся установка Plausible CE 3.0. Версии от 3.0.0 до 3.2.0 были уязвимы к CVE-2026-8467. По имеющимся данным, уязвимость позволяла выполнять команды без аутентификации через открытый интерфейс библиотеки компонентов /storybook. Plausible устранила её в мае 2026 года.
Авторы отчёта рекомендуют покупателям, чьи данные могли быть скомпрометированы в Convertr, заменить потенциально затронутые карты и отслеживать мошенничество, связанное с CPF. По их данным, браузеры могут хранить заражённый скрипт трекера в кэше до 24 часов после очистки.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
