Una nueva campaña de Magecart utiliza la infraestructura de Google Tag Manager y la API de Stripe para robar datos de tarjetas de crédito en tiendas Magento/Adobe Commerce. Al emplear dominios confiables, el malware evade los filtros de seguridad y almacena la información robada como registros de clientes falsos en Stripe. También se detectó una variante similar que utiliza Google Firestore para la misma finalidad.



Una nueva campaña de Magecart está utilizando la infraestructura de la API de Stripe para alojar el payload de robo de tarjetas de crédito y los datos exfiltrados de las páginas de pago.

Toda la actividad maliciosa se basa en los dominios de Google Tag Manager y Stripe - googletagmanager.com y api.stripe.com - que son confiados implícitamente por las tiendas online.

La nueva familia de malware fue descubierta por investigadores de la empresa de seguridad de comercio electrónico Sansec, quienes encontraron que el código malicioso se carga desde un contenedor de Google Tag Manager (GTM) y se ejecuta en cada página que lo carga.

"Tanto el payload como las tarjetas robadas se mueven a través de api.stripe.com. Las tiendas permiten ese dominio por defecto, por lo que el skimmer evade las reglas de Política de Seguridad de Contenido (CSP) y los filtros de red que de otro modo marcarían el tráfico hacia un dominio de skimmer desconocido", afirma Sansec.

GTM es un sistema de gestión que permite a los propietarios de sitios web añadir y gestionar scripts utilizados para analítica, anuncios y seguimiento, sin modificar el código fuente del sitio.

Stripe es una plataforma de procesamiento de pagos ampliamente utilizada por tiendas online para aceptar tarjetas de crédito, gestionar pedidos de clientes y manejar la facturación.

Según Sansec, el código malicioso está embebido en contenedores de GTM con apariencia legítima, que se activan cuando un comprador llega a una página de pago, solicitando la API de Stripe para un registro de cliente específico, cus_TfFjAAZQNOYENR, en este caso.

Desde los campos de metadatos del registro, lee un código JavaScript que reensambla y luego ejecuta utilizando new Function().

El skimmer de tarjetas se dirige a las páginas de pago de Magento/Adobe Commerce e intenta capturar datos de pago (número de tarjeta de crédito, fecha de vencimiento, código CVV, nombre del cliente), así como direcciones de facturación y correo electrónico, y el número de teléfono.

Los datos robados se concatenan en una sola cadena, se ofuscan mediante la operación XOR y se almacenan localmente en lugar de exfiltrarse inmediatamente.

La recuperación de los datos se realiza a través de una rutina separada, que se ejecuta justo después de cargar la página y cada minuto después, dividiendo el bloque de datos por la mitad, creando un nuevo objeto de cliente de Stripe y almacenando los datos robados en campos de metadatos.

Cada tarjeta de pago robada se convierte en un registro de cliente falso en la cuenta de Stripe del atacante, convirtiendo a Stripe en un backend de almacenamiento para datos robados.

Una vez copiados los datos, el archivo local se borra para eliminar los rastros del ataque y evitar subidas duplicadas.

Rutina de exfiltración de datos

Sansec también descubrió una variante del ataque donde se utiliza Google Firestore, un servicio de base de datos en la nube para el almacenamiento y recuperación de datos en tiempo real, en lugar de Stripe.

En esa versión de la campaña, el payload se recupera de un documento de Firestore llamado tracking/captcha en un proyecto llamado braintree-payment-app. Los datos robados se almacenan en una clave de localStorage diferente (_d_data_customer_).

Los nombres del documento y del proyecto ayudan al malware a confundirse con el tráfico legítimo de pagos y protección contra bots.

Según se informa, el registro de cliente de Stripe que contenía el skimmer fue creado el 24 de diciembre de 2025, lo que sugiere que la operación podría haber estado activa al menos desde esa fecha.

Los clientes pueden protegerse de tales riesgos utilizando tarjetas virtuales de un solo uso con límites establecidos.

Fuente:
BleepingComputer