#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
HexMage — это кампания Magecart, направленная на компрометацию платформ электронной коммерции с целью внедрения серверных JavaScript-скиммеров в страницы оформления заказа. Для сокрытия и динамического обновления доменов доставки полезной нагрузки используются смарт-контракты Ethereum, после чего разворачиваются обфусцированные поддельные формы оплаты, перехватывающие данные клиентов и платёжную информацию и передающие их через несколько каналов.
-----

Кампания HexMage представляет собой операцию Magecart, нацеленную на легитимные интернет-магазины, преимущественно на базе WooCommerce, при этом среди дополнительных жертв есть магазины, использующие PrestaShop, Magento и WordPress. Злоумышленники осуществляют компрометацию серверов продавцов и внедряют JavaScript в страницы витрин, часто маскируя его под блок Google Tag Manager. Загрузчик работает на стороне сервера, поэтому все посетители, попадающие на затронутую страницу оформления заказа, могут подвергнуться воздействию независимо от источника трафика.

Загрузчик, как правило, импортирует ethers.js с jsDelivr и взаимодействует с публичным RPC-эндпоинтом Ethereum Sepolia на `0xrpc.io/sep`. Он обращается к смарт-контрактам, контролируемым злоумышленниками, используя селектор функции `getText()` `0xe00fe2eb`. Хранилище контракта предоставляет либо одноразовый хост-имя для доставки, либо зашифрованное значение `salt:iv:ciphertext`, которое после расшифровки преобразуется в хост-имя. Загрузчик объединяет это хост-имя с локально встроенным путем и динамически загружает конечный скиммер. Такая архитектура EtherHiding позволяет избежать размещения домена доставки в инъектированном коде и дает злоумышленникам возможность изменять домены путем обновления хранилища контракта. У двух наблюдаемых жертв был обнаружен вариант, не зависящий от блокчейна, который напрямую декодировал полный URL скиммера из Base64.

Финальный полезный код представляет собой JavaScript-скиммер, упакованный с помощью obfuscator.io и управляемый конфигурацией. Он ожидает событий оформления заказа или выбора способа оплаты, после чего накладывается поверх легитимного интерфейса оплаты или заменяет его поддельной формой, адаптированной под платежный шлюз продавца. Скиммер перехватывает номера карт, сроки действия, коды CVV/CVC, имена держателей карт, адреса электронной почты для выставления счетов и другие данные оформления заказа. В качестве визуальных приманок могут использоваться подлинные изображения платежных брендов. Скиммер кодирует собранные данные в Base64 и выводит их с помощью настраиваемых методов, включая `fetch`, WebSockets, `sendBeacon`, запросы изображений или PHP-коллекторы. После этого он может восстановить исходный интерфейс оформления заказа, чтобы транзакции завершались в штатном режиме.

ВПО включает блокировку домена, хеширование имени хоста, закрепление на основе MutationObserver, проверки DevTools и прав администратора, отложенные триггеры событий оформления заказа, сокрытие с помощью CSS, рандомизированные параметры запроса и обманные имена файлов. В частности, выполнение кода предотвращается, когда вошедшие в систему администраторы WordPress осматривают сайт, что способствует поддержанию закрепления. В наблюдаемой инфраструктуре использовались одноразовые домены с тематическим оформлением, а также один перечисляемый кошелек злоумышленника, связанный с 144 контрактами и более чем 40 скомпрометированными процессами оформления заказа.