Los compradores en línea han sido durante mucho tiempo blanco de robos digitales, pero una reciente ola de ataques ha elevado el riesgo de una manera preocupante. Hackers vinculados al notorio grupo Magecart están ocultando skimmers de tarjetas de crédito dentro de contenedores de Google Tag Manager (GTM), convirtiendo una herramienta web ampliamente confiable en un arma silenciosa contra compradores desprevenidos.

Google Tag Manager es utilizado por millones de sitios web para gestionar scripts de marketing y análisis desde una única ubicación confiable. Debido a que sirve código desde el dominio altamente confiable googletagmanager.com, la mayoría de las herramientas de seguridad y los propietarios de sitios web rara vez cuestionan los scripts cargados a través de él.

Esa confianza es exactamente lo que los atacantes están explotando, utilizando contenedores de GTM falsos para entregar código malicioso que roba datos de pago silenciosamente en tiempo real.

Los analistas de Sucuri han rastreado esta campaña de cerca, descubriendo una operación bien organizada vinculada a un actor de amenazas veterano llamado ATMZOW. Este skimmer ha sido relacionado con la actividad de Magecart desde 2015, cuando se conectó por primera vez a la infección Guruincsite que comprometió miles de tiendas impulsadas por Magento. El hecho de que este mismo grupo siga operando, y siga evolucionando, es una señal clara de que la amenaza está lejos de terminar.

La escala del problema quedó clara cuando el escáner SiteCheck de Sucuri detectó contenedores de GTM maliciosos conocidos en 327 sitios solo en los primeros 11 meses de 2023. Un contenedor, GTM-WJV6J6, fue señalado 178 veces ese año antes de que Google interviniera y lo eliminara. Pero cuando se cierra un contenedor, los atacantes simplemente crean otros nuevos y comienzan a reinfectar los sitios nuevamente.

Lo que hace que esta campaña sea especialmente peligrosa es lo profundamente que se ha incrustado en el flujo normal de la actividad web. Un script de GTM parece completamente ordinario a primera vista, razón por la cual tantas infecciones pasan desapercibidas hasta que se ha causado un daño real. Los compradores ingresan los detalles de su tarjeta en lo que parece ser una página de pago legítima, totalmente inconscientes de que sus datos están siendo enviados silenciosamente a los atacantes.

Cómo funciona el Skimmer de Google TM

El skimmer de ATMZOW utiliza una cadena de scripts ofuscados entregados a través de contenedores de GTM para recolectar silenciosamente datos de tarjetas de pago desde las páginas de finalización de compra. Una vez que un sitio comprometido carga el contenedor malicioso, el script verifica si el visitante se encuentra en una página de pago o en una página de pago de una sola pantalla antes de activarse.

Este enfoque selectivo ayuda a que el malware permanezca discreto y reduce la probabilidad de activar los escaneos de seguridad automatizados.

Para adelantarse a los investigadores, el skimmer selecciona aleatoriamente dos dominios de una lista rotativa de 40 direcciones recién registradas para cargar su carga útil. Estos dominios se guardan en el almacenamiento local del navegador, por lo que el mismo par aparece en visitas repetidas, haciendo que sea mucho más difícil para los analistas trazar la infraestructura completa.

Los dominios fueron registrados a través de Hostinger en tres lotes en noviembre de 2023 y diseñados para pasar desapercibidos utilizando palabras relacionadas con el arte combinadas con términos de estilo analítico, como cdn.sketchinsightswatch[.]com y cdn.colorpalettemetrics[.]com. Los atacantes también ocultaron sus servidores detrás de un firewall de Cloudflare para evitar la detección basada en IP, aunque los investigadores finalmente pudieron identificar los servidores subyacentes.

Tácticas de Ofuscación y Reinfección Persistente

Lo que diferencia al skimmer de ATMZOW de herramientas más simples es la profundidad de su ofuscación. El código malicioso utiliza un mecanismo de decodificación personalizado que depende de la longitud exacta de caracteres del script, lo que significa que cualquier modificación romperá el decodificador por completo. Este diseño lo hace particularmente resistente al análisis automatizado y a las herramientas de detección estática.

Cuando Google eliminó el contenedor original GTM-TVKQ79ZS tras los informes de actividad maliciosa, los atacantes crearon rápidamente dos contenedores de reemplazo, GTM-NTV2JTB4 y GTM-MX7L8F2M, y reanudaron la infección de sitios.

En al menos una ocasión, este skimmer fue encontrado operando junto a un skimmer separado basado en WebSocket en el mismo sitio comprometido, lo que sugiere que algunas víctimas estaban siendo atacadas por múltiples actores de amenazas a la vez. Los propietarios de sitios web deben tratar cualquier script desconocido como una posible señal de alerta, especialmente aquellos que no fueron colocados allí por un administrador. Para los propietarios de sitios Magento, vale la pena revisar exhaustivamente las plantillas almacenadas en core_config_data, ya que este es el lugar más común donde se plantan los scripts de skimmers del lado del cliente.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.