As pegadas do Raccoon: JS-sniffer FakeSecurity distribuindo stealer para roubar dados de pagamento
A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
A Group-IB publicou uma investigação sobre uma campanha criminosa que uniu duas ferramentas diferentes com o mesmo objetivo: roubar dinheiro e dados financeiros de vítimas. De um lado, o JS-sniffer FakeSecurity, um trecho de código JavaScript malicioso injetado em lojas online baseadas em Magento, capturava silenciosamente os números de cartão de crédito digitados por clientes no momento do checkout. Do outro, o infostealer Raccoon, vendido como malware-as-a-service em fóruns da dark web, coletava senhas salvas em navegadores, dados de preenchimento automático, carteiras de criptomoedas e outras informações sensíveis da máquina infectada.
O artigo descreve quatro ondas de ataque coordenadas entre fevereiro e setembro de 2020. A infecção inicial partia de e-mails com documentos armadilhados contendo macros maliciosas, e também de páginas de phishing construídas com o kit Mephistophilus, que se passavam por telas de atualização do Adobe Reader para convencer a vítima a baixar e executar o payload. A partir daí, carregadores intermediários como Buer e SmokeLoader instalavam o Raccoon Stealer na máquina da vítima, enquanto, em paralelo, o código FakeSecurity ficava incrustado nos sites de e-commerce comprometidos, capturando dados de pagamento de qualquer cliente que passasse pelo checkout, independentemente de estar infectado ou não.
O código do FakeSecurity era ofuscado com a técnica aaencode, dificultando a detecção por ferramentas automatizadas de segurança das próprias lojas online, e a infraestrutura de comando e controle usava domínios registrados na África do Sul (.co.za) além de um canal do Telegram para coordenar a exfiltração dos dados roubados.
Esse tipo de ataque reforça a importância de dupla camada de defesa: para consumidores, evitar abrir anexos ou baixar leitores de PDF a partir de links recebidos por e-mail, preferindo sempre baixar softwares direto do site oficial do fabricante, além de usar cartões virtuais ou notificações de transação em tempo real para identificar cobranças indevidas rapidamente. Para lojistas, a recomendação é monitorar integridade de arquivos JavaScript no ambiente Magento, aplicar patches de segurança regularmente e usar ferramentas de detecção de sniffers de checkout, já que a infecção pode passar despercebida por meses capturando dados de milhares de clientes.