Se ha detectado una vulnerabilidad crítica en el plugin Funnel Builder para WordPress que permite a atacantes inyectar código JavaScript malicioso en las páginas de pago de WooCommerce. El objetivo es robar datos de tarjetas de crédito y direcciones de facturación mediante scripts disfrazados de Google Tag Manager. Se recomienda actualizar el plugin a la versión 3.15.0.3 y revisar los scripts externos configurados.





Una vulnerabilidad de seguridad crítica que afecta al plugin Funnel Builder para WordPress ha sido objeto de una explotación activa para inyectar código JavaScript malicioso en las páginas de pago de WooCommerce con el objetivo de robar datos de pago.

Los detalles de la actividad fueron publicados por Sansec esta semana. La vulnerabilidad actualmente no tiene un identificador CVE oficial. Afecta a todas las versiones del plugin anteriores a la 3.15.0.3 y se utiliza en más de 40.000 tiendas WooCommerce.

El fallo permite a atacantes no autenticados inyectar JavaScript arbitrario en cada página de pago de la tienda, informó la empresa holandesa de seguridad de comercio electrónico. FunnelKit, que mantiene Funnel Builder, ha lanzado un parche para la vulnerabilidad en la versión 3.15.0.3.

"Los atacantes están plantando scripts falsos de Google Tag Manager en la configuración de 'External Scripts' del plugin", señaló. "El código inyectado parece analítica ordinaria junto a las etiquetas reales de la tienda, pero carga un skimmer de pagos que roba números de tarjeta de crédito, CVV y direcciones de facturación durante el pago".

Según Sansec, Funnel Builder incluye un endpoint de pago expuesto públicamente que permite que una solicitud entrante elija el tipo de método interno a ejecutar. Sin embargo, las versiones anteriores fueron diseñadas de tal manera que nunca verificaban los permisos del llamador ni limitaban qué métodos podían ser invocados.

Un actor malintencionado podría explotar este vacío legal emitiendo una solicitud no autenticada que puede llegar a un método interno no especificado que escribe datos controlados por el atacante directamente en la configuración global del plugin. El fragmento de código añadido se inyecta entonces en cada página de pago de Funnel Builder.

Como resultado, un atacante podría plantar una etiqueta <script> maliciosa que se activa en cada transacción de pago en un sitio de WordPress susceptible.

En al menos un caso, Sansec dijo haber observado una carga que se hacía pasar por un cargador de Google Tag Manager (GTM) para lanzar JavaScript alojado en un dominio remoto. Posteriormente, abre una conexión WebSocket al servidor de comando y control (C2) del atacante ("wss://protect-wss[.]com/ws") para recuperar un skimmer adaptado a la tienda de la víctima.

El objetivo final del ataque es sustraer números de tarjetas de crédito, CVV, direcciones de facturación y otra información personal que los visitantes del sitio podrían introducir al pagar. Se aconseja a los propietarios de los sitios actualizar el plugin Funnel Builder a la última versión y revisar en Ajustes > Checkout > External Scripts cualquier elemento desconocido y eliminarlo.

"Disfrazar los skimmers como código de Google Analytics o Tag Manager es un patrón recurrente de Magecart, ya que los revisores tienden a pasar por alto cualquier cosa que parezca una etiqueta de seguimiento familiar", afirmó Sansec.

La revelación se produce semanas después de que Sucuri detallara una campaña en la que sitios web de Joomla están siendo infectados con puertas traseras (backdoors) mediante código PHP fuertemente ofuscado para contactar con servidores C2 controlados por atacantes, recibir y procesar instrucciones enviadas por los operadores, y servir contenido spam a los visitantes y motores de búsqueda sin el conocimiento del propietario del sitio. El objetivo final es aprovechar la reputación de los sitios para inyectar spam.

"El script actúa como un cargador remoto", dijo la investigadora de seguridad Puja Srivastava en su informe. "Contacta con un servidor externo, envía información sobre el sitio web infectado y espera instrucciones. La respuesta del servidor remoto determina qué contenido debe servir el sitio infectado".

"Este enfoque permite a los atacantes cambiar el comportamiento del sitio web comprometido en cualquier momento sin necesidad de modificar los archivos locales nuevamente. El atacante puede inyectar enlaces de productos spam, redirigir visitantes o mostrar páginas maliciosas de forma dinámica".

Fuente:
THN