在過去的兩年里，網(wǎng)絡(luò)犯罪分子使用了各種各樣的方法來在網(wǎng)上商城的各個(gè)地方隱藏針對(duì)Credit Card的信息竊取代碼，以防止被安全檢測(cè)方案所發(fā)現(xiàn)，而這些信息竊取代碼也被稱之為Web Skimmer或Magecart腳本。

[[376265]]

在此之前，研究人員曾在網(wǎng)站Logo、縮略圖標(biāo)、內(nèi)部圖像、實(shí)時(shí)聊天窗口、社交媒體分享按鈕以及熱門JavaScript庫(kù)中發(fā)現(xiàn)過Web Skimmer的身影。但是，最近發(fā)現(xiàn)的惡意代碼宿主已經(jīng)涉及到了CSS文件了。

CSS文件代表層疊樣式表，在瀏覽器內(nèi)使用CSS文件可以加載各種規(guī)則以對(duì)網(wǎng)頁(yè)元素進(jìn)行樣式化定義。這些CSS文件通常包含描述各種頁(yè)面元素的顏色、文本大小、各種元素之間的填充、字體設(shè)置等的相關(guān)代碼。

然而，現(xiàn)在的CSS已經(jīng)不是21世紀(jì)初的樣子了。在在過去的十年里，CSS語(yǔ)言已經(jīng)發(fā)展成為了一種強(qiáng)大的實(shí)用工具，Web開發(fā)人員現(xiàn)在正在使用它來創(chuàng)建強(qiáng)大的動(dòng)畫，而很少甚至幾乎沒有人會(huì)選擇使用JavaScript。

CSS語(yǔ)言最近增加的一個(gè)功能，即添加CSS變量，這種變量可以用于存儲(chǔ)某些之后需要復(fù)用或調(diào)用的內(nèi)容。

荷蘭安全公司Sanguine Security(SanSec)的創(chuàng)始人Willem de Groot表示，目前至少有一個(gè)網(wǎng)絡(luò)犯罪團(tuán)伙正在使用CSS變量來進(jìn)行攻擊。Web skimmer團(tuán)伙首先會(huì)獲取一個(gè)在線商店的訪問權(quán)限，然后修改其CSS和JavaScript文件，并向其中注入惡意代碼。

在CSS代碼中，他們會(huì)添加一個(gè)CSS變量，這個(gè)變量中存儲(chǔ)的是他們需要在被攻擊商店中加載Web Skimmer代碼的URL地址，而這個(gè)CSS變量會(huì)通過一個(gè)看似無(wú)害的JavaScript代碼(注入到在線商店中的其他地方)中進(jìn)行調(diào)用。

下圖顯示的是CSS文件中的CSS變量：

下圖顯示的是JavaScript代碼調(diào)用CSS變量的代碼段：

Web安全工具通常只掃描JavaScript代碼，而不會(huì)掃描CSS文件。除此之外，它們只會(huì)掃描JavaScript代碼的靜態(tài)版本，而并不會(huì)實(shí)際執(zhí)行這些JavaScript腳本。

這樣做是為了避免在網(wǎng)上商店里制造空的購(gòu)物車或影響在線商店的分析平臺(tái)。這也就意味著，隱藏在CSS變量中的惡意代碼在大多數(shù)平臺(tái)上都不會(huì)被發(fā)現(xiàn)，即使這些網(wǎng)站使用了功能強(qiáng)大的Web應(yīng)用程序防火墻和Web安全掃描器。

Willem de Groot表示，他們?cè)谧钚掳l(fā)現(xiàn)的Web Skimmer代碼之中，發(fā)現(xiàn)了一個(gè)標(biāo)準(zhǔn)的鍵盤記錄程序。自從通過Twitter發(fā)布了相關(guān)報(bào)告之后，它似乎在一個(gè)小時(shí)之后就被下線了。他說到：“我們還發(fā)現(xiàn)了一些其他受此技術(shù)感染的在線商店，然而這些基礎(chǔ)設(shè)施自今年9月份以來貌似就已經(jīng)上線了，因?yàn)榇饲斑€有十多次傳統(tǒng)攻擊也使用過這些基礎(chǔ)設(shè)施。由此我們推斷，這些CSS文件貌似是攻擊者進(jìn)行新技術(shù)實(shí)驗(yàn)的一個(gè)部分。”

盡管這種通過使用CSS規(guī)則作為代理來加載Web Skimmer代碼的技術(shù)無(wú)疑是一種創(chuàng)新，但Willem de Groot也表示在線商店的店主或者在線購(gòu)物用戶其實(shí)并不用過多的擔(dān)心。他表示：“雖然大多數(shù)研究都涉及到了JavaScript Skimming攻擊，但大部分的Skimming都發(fā)生在服務(wù)器上，而我們是無(wú)法在服務(wù)器上觀察到相關(guān)攻擊行為的。在今年我們所進(jìn)行的取證調(diào)查活動(dòng)中，我們發(fā)現(xiàn)在65%的攻擊情況下，服務(wù)器端Skimmer代碼隱藏在數(shù)據(jù)庫(kù)、PHP代碼或Linux系統(tǒng)進(jìn)程之中。”

正如ZDNet周一在一篇關(guān)于SanSec另一項(xiàng)調(diào)查結(jié)果的文章中所解釋的那樣，購(gòu)物者保護(hù)自己免受Web Skimmer攻擊的最簡(jiǎn)單方法就是使用為一次性付款設(shè)計(jì)的虛擬支付卡。這些卡片由一些銀行或在線支付服務(wù)商提供，允許購(gòu)物者在虛擬卡片中存入一筆固定金額的錢，該卡在一次交易或一小段時(shí)間后將會(huì)到期。如果卡片的詳細(xì)信息被攻擊者竊取，那么一旦虛擬卡過期，卡片數(shù)據(jù)將不再有效。