Ha surgido una nueva campaña al estilo Magecart, dirigida a compradores en línea mediante código JavaScript malicioso diseñado para robar información de pago directamente de sitios web de comercio electrónico.

El ataque funciona inyectando scripts ocultos en sitios de compras comprometidos, permitiendo a los atacantes interceptar datos sensibles cuando los clientes ingresan los detalles de su tarjeta de crédito durante el proceso de pago.

Los ataques Magecart representan una amenaza significativa para los minoristas en línea y sus clientes. Estas campañas han evolucionado a lo largo de varios años, con ciberdelincuentes refinando continuamente sus métodos para evitar la detección.

La última variante demuestra técnicas de ofuscación sofisticadas, lo que dificulta que los equipos de seguridad identifiquen y bloqueen el código malicioso antes de que dañe la confianza de los clientes y las operaciones comerciales.

El analista de seguridad Himanshu Anand identificó esta campaña en particular a través de inteligencia de amenazas de código abierto. Rastreó el ataque hasta un dominio principal, cc-analytics.com, que alojaba el archivo JavaScript malicioso.

El descubrimiento reveló un esfuerzo coordinado por parte de los actores de amenazas para desplegar cargas útiles similares en múltiples plataformas de comercio electrónico, lo que sugiere una campaña generalizada que afecta a numerosos negocios en línea y a sus clientes.

Los datos robados se envían a servidores controlados por los atacantes, donde los delincuentes recopilan la información de pago para su reventa o uso fraudulento.

Esta campaña muestra cómo los atacantes explotan entornos de comercio electrónico de confianza para atacar a los clientes en su momento más vulnerable: cuando realizan una compra en línea.

¿Cómo funciona el mecanismo de infección del ataque?

El JavaScript malicioso opera a través de un proceso de múltiples etapas que permanece oculto tanto para los clientes como para los administradores del sitio web.

Cuando un comprador desprevenido visita un sitio de comercio electrónico comprometido, el código del atacante se carga silenciosamente en segundo plano mediante una etiqueta de script simple inyectada en el código HTML de la página web.

Una vez activo, el script apunta a campos de formulario específicos donde los clientes ingresan información sensible. Se engancha a los botones de pago y a los elementos del formulario de pago, monitoreando la actividad del usuario en busca de señales de entrada de datos de pago.

Cuando un cliente escribe su número de tarjeta de crédito y dirección de facturación, el JavaScript captura esta información en tiempo real antes de que el sistema de pago legítimo la reciba.

El robo ocurre al instante a través de una función automatizada de exfiltración de datos. Los detalles de pago capturados se agrupan en una solicitud y se envían a la infraestructura del atacante, específicamente a dominios como pstatics.com.

Para cuando un cliente completa su compra, la información de su tarjeta de crédito ya ha sido recolectada y enviada a los delincuentes detrás de la campaña.

Lo que hace que este ataque sea particularmente peligroso es su invisibilidad. El JavaScript se ejecuta en silencio sin activar advertencias de seguridad del navegador ni dejar señales obvias de compromiso.

Las técnicas de ofuscación utilizadas hacen que el código sea ilegible para las herramientas de seguridad automatizadas, permitiéndole persistir en sitios web comprometidos durante períodos prolongados mientras roba datos continuamente de clientes desprevenidos.