信用卡数据泄漏持续进行中 [快速更新]
<!--kg-card-begin: markdown--><hr>
<blockquote>
<p>DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。</p>
</blockquote>
<hr>
<h2 id="">黑客在行动</h2>
<p>5月8号，我们发布文章 &lt;<a href="__GHOST_URL__/xinyongka-shuju-xielou/">信用卡数据泄漏持续进行中</a>&gt;，揭露了一个通过入侵购物网站来窃取信用卡信息的案例。文章发布后不久，我们发现黑客们开始做调整，原始域名 magento-analytics[.]com 已经下线。</p>
<p>但不久，我们的 DNSMon 系统在UTC时间 2019-05-13 凌晨时候捕捉到该黑客的2个更新，被用于同样的信用卡信息窃取。</p>
<h3 id="1jqueryextdat">更新1: 启动了一个新域名：jqueryextd[.]at</h3>
<p>对应的恶意JS链接为 “hxxps://jqueryextd.at/5c21f3dbf01e0.js”，脚本中上报地址也对应的改为了“hxxps://jqueryextd.at/gate.php&quot;</p>
<p><img src="__GHOST_URL__/content/images/2019/05/update1.new_domain.jpg" alt="update1.new_domain" loading="lazy"></p>
<h3 id="2jsjsjs">更新2: 换了JS加载方式：从挂载JS链接改为内嵌JS代码</h3>
<p>之前的案例中，都是通过外链一个恶意JS脚本来执行恶意脚本，现在发现黑客直接将恶意脚本JS的内容内嵌到网站代码中来执行。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/update1.embeded_js.jpg" alt="update1.embeded_js" loading="lazy"></p>
<h2 id="">另外一个黑客：代码混淆 &amp; 新上报地址</h2>
<p>于此同时，我们还发现了另外一个黑客的行动迹象。该黑客从今年2月初开始活动，最开始使用的外链 JS 脚本地址是 &quot;hxxp://adwordstraffic.link/onestepcheckoutccpayment.js&quot;<sup class="footnote-ref"><a href="#fn1" id="fnref1">[1]</a></sup>, 同时对应上报地址为 &quot;hxxps://adwordstraffic.link/validation/&quot; 。从JS代码来看，和前述的 magento-analytics[.]com/jqueryextd[.]at 如出一辙，但是域名以及IP都和前述黑客所用不同，所以我们怀疑这可能是另外一个控制者。</p>
<pre><code>adwordstraffic.link    A    89.32.251.136    #GEO:Iran
</code></pre>
<p>最近几天，该黑客所使用的域名也已经停止解析，他们开始将恶意JS代码混淆，直接嵌入受害者网站代码中，同时将上报地址也改为了裸IP的方式 &quot;hxxp://89.32.251.136/validation/&quot;。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/update1.new_ip.jpg" alt="update1.new_ip" loading="lazy"></p>
<h2 id="">当前新方式感染网站列表</h2>
<pre><code>InfectedWebSite           Method       ReportAddress
-----------------------------------------------------------------------
vezabands.com             Linked_JS    &quot;https://jqueryextd.at/gate.php&quot;
cigarhumidors-online.com  Embeded_JS   &quot;https://jqueryextd.at/gate.php&quot;
decabana.com              Embeded_JS   &quot;https://jqueryextd.at/gate.php&quot;
omejo.com                 Embeded_JS   &quot;https://jqueryextd.at/gate.php&quot;
backyardmas.com           Embeded_JS   &quot;https://jqueryextd.at/gate.php&quot;  [removed]
luxerwatches.ca           Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
luxerwatches.com          Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
bragardusa.com            Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
ecompressedair.com        Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
flatiron-wines.com        Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
thalgousa.com             Embeded_JS   &quot;http://89.32.251.136/validation/&quot;
</code></pre>
<h2 id="">后续</h2>
<p>针对该案例，我们不再公开我们的跟踪技术，但我们的 DNSMon 有能力持续跟踪，且仍将持续跟踪。</p>
<hr class="footnotes-sep">
<section class="footnotes">
<ol class="footnotes-list">
<li id="fn1" class="footnote-item"><p>域名已经失效，截止到5.14号，原始JS仍可以通过裸IP的方式获取&quot; <a href="https://89.32.251.136/onestepcheckoutauthorizenet.js">https://89.32.251.136/onestepcheckoutauthorizenet.js</a>&quot; <a href="#fnref1" class="footnote-backref">↩︎</a></p>
</li>
</ol>
</section>
<!--kg-card-end: markdown-->






DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。





黑客在行动


5月8号，我们发布文章 <信用卡数据泄漏持续进行中>，揭露了一个通过入侵购物网站来窃取信用卡信息的案例。文章发布后不久，我们发现黑客们开始做调整，原始域名 magento-analytics[.]com 已经下线。


但不久，我们的 DNSMon 系统在UTC时间 2019-05-13 凌晨时候捕捉到该黑客的2个更新，被用于同样的信用卡信息窃取。



更新1: 启动了一个新域名：jqueryextd[.]at


对应的恶意JS链接为 “hxxps://jqueryextd.at/5c21f3dbf01e0.js”，脚本中上报地址也对应的改为了“hxxps://jqueryextd.at/gate.php"






更新2: 换了JS加载方式：从挂载JS链接改为内嵌JS代码


之前的案例中，都是通过外链一个恶意JS脚本来执行恶意脚本，现在发现黑客直接将恶意脚本JS的内容内嵌到网站代码中来执行。






另外一个黑客：代码混淆 & 新上报地址


于此同时，我们还发现了另外一个黑客的行动迹象。该黑客从今年2月初开始活动，最开始使用的外链 JS 脚本地址是 "hxxp://adwordstraffic.link/onestepcheckoutccpayment.js"[1], 同时对应上报地址为 "hxxps://adwordstraffic.link/validation/" 。从JS代码来看，和前述的 magento-analytics[.]com/jqueryextd[.]at 如出一辙，但是域名以及IP都和前述黑客所用不同，所以我们怀疑这可能是另外一个控制者。


adwordstraffic.link    A    89.32.251.136    #GEO:Iran



最近几天，该黑客所使用的域名也已经停止解析，他们开始将恶意JS代码混淆，直接嵌入受害者网站代码中，同时将上报地址也改为了裸IP的方式 "hxxp://89.32.251.136/validation/"。






当前新方式感染网站列表


InfectedWebSite           Method       ReportAddress
-----------------------------------------------------------------------
vezabands.com             Linked_JS    "https://jqueryextd.at/gate.php"
cigarhumidors-online.com  Embeded_JS   "https://jqueryextd.at/gate.php"
decabana.com              Embeded_JS   "https://jqueryextd.at/gate.php"
omejo.com                 Embeded_JS   "https://jqueryextd.at/gate.php"
backyardmas.com           Embeded_JS   "https://jqueryextd.at/gate.php"  [removed]
luxerwatches.ca           Embeded_JS   "http://89.32.251.136/validation/"
luxerwatches.com          Embeded_JS   "http://89.32.251.136/validation/"
bragardusa.com            Embeded_JS   "http://89.32.251.136/validation/"
ecompressedair.com        Embeded_JS   "http://89.32.251.136/validation/"
flatiron-wines.com        Embeded_JS   "http://89.32.251.136/validation/"
thalgousa.com             Embeded_JS   "http://89.32.251.136/validation/"




后续


针对该案例，我们不再公开我们的跟踪技术，但我们的 DNSMon 有能力持续跟踪，且仍将持续跟踪。






 1. 域名已经失效，截止到5.14号，原始JS仍可以通过裸IP的方式获取" https://89.32.251.136/onestepcheckoutauthorizenet.js" ↩︎
    


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"------\n> DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。\n------\n\n\n## 黑客在行动\n\n5月8号，我们发布文章 <[信用卡数据泄漏持续进行中](https://blog.netlab.360.com/xinyongka-shuju-xielou/)>，揭露了一个通过入侵购物网站来窃取信用卡信息的案例。文章发布后不久，我们发现黑客们开始做调整，原始域名 magento-analytics[.]com 已经下线。\n\n但不久，我们的 DNSMon 系统在UTC时间 2019-05-13 凌晨时候捕捉到该黑客的2个更新，被用于同样的信用卡信息窃取。\n\n\n### 更新1: 启动了一个新域名：jqueryextd[.]at\n\n\n对应的恶意JS链接为 “hxxps://jqueryextd.at/5c21f3dbf01e0.js”，脚本中上报地址也对应的改为了“hxxps://jqueryextd.at/gate.php\"\n\n![update1.new_domain](__GHOST_URL__/content/images/2019/05/update1.new_domain.jpg)\n\n\n### 更新2: 换了JS加载方式：从挂载JS链接改为内嵌JS代码\n\n\n之前的案例中，都是通过外链一个恶意JS脚本来执行恶意脚本，现在发现黑客直接将恶意脚本JS的内容内嵌到网站代码中来执行。\n\n![update1.embeded_js](__GHOST_URL__/content/images/2019/05/update1.embeded_js.jpg)\n\n\n## 另外一个黑客：代码混淆 & 新上报地址\n\n于此同时，我们还发现了另外一个黑客的行动迹象。该黑客从今年2月初开始活动，最开始使用的外链 JS 脚本地址是 \"hxxp://adwordstraffic.link/onestepcheckoutccpayment.js\"[^1], 同时对应上报地址为 \"hxxps://adwordstraffic.link/validation/\" 。从JS代码来看，和前述的 magento-analytics[.]com/jqueryextd[.]at 如出一辙，但是域名以及IP都和前述黑客所用不同，所以我们怀疑这可能是另外一个控制者。\n\n```\nadwordstraffic.link    A    89.32.251.136    #GEO:Iran\n```\n\n最近几天，该黑客所使用的域名也已经停止解析，他们开始将恶意JS代码混淆，直接嵌入受害者网站代码中，同时将上报地址也改为了裸IP的方式 \"hxxp://89.32.251.136/validation/\"。\n\n\n![update1.new_ip](__GHOST_URL__/content/images/2019/05/update1.new_ip.jpg)\n\n\n\n## 当前新方式感染网站列表\n\n```\nInfectedWebSite           Method       ReportAddress\n-----------------------------------------------------------------------\nvezabands.com             Linked_JS    \"https://jqueryextd.at/gate.php\"\ncigarhumidors-online.com  Embeded_JS   \"https://jqueryextd.at/gate.php\"\ndecabana.com              Embeded_JS   \"https://jqueryextd.at/gate.php\"\nomejo.com                 Embeded_JS   \"https://jqueryextd.at/gate.php\"\nbackyardmas.com           Embeded_JS   \"https://jqueryextd.at/gate.php\"  [removed]\nluxerwatches.ca           Embeded_JS   \"http://89.32.251.136/validation/\"\nluxerwatches.com          Embeded_JS   \"http://89.32.251.136/validation/\"\nbragardusa.com            Embeded_JS   \"http://89.32.251.136/validation/\"\necompressedair.com        Embeded_JS   \"http://89.32.251.136/validation/\"\nflatiron-wines.com        Embeded_JS   \"http://89.32.251.136/validation/\"\nthalgousa.com             Embeded_JS   \"http://89.32.251.136/validation/\"\n```\n\n\n## 后续\n\n针对该案例，我们不再公开我们的跟踪技术，但我们的 DNSMon 有能力持续跟踪，且仍将持续跟踪。\n\n\n\n\n[^1]: 域名已经失效，截止到5.14号，原始JS仍可以通过裸IP的方式获取\" https://89.32.251.136/onestepcheckoutauthorizenet.js\"\n\n\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}