Magecart saldırılarında yeni bir teknik olarak, kötü amaçlı yükler favicon dosyasının EXIF meta verisi içine gizleniyor ve üç aşamalı bir yükleyici zinciri ile çalışıyor. Bu yöntemle, satıcının kaynak koduna dokunulmadan, depolarda görünmeden ve tamamen kullanıcının tarayıcısında ödeme esnasında çalışan zararlı kodlar devreye giriyor.
Saldırı Zinciri ve Teknik Detaylar
İlk aşamada, zararsız görünen bir Shopify CDN URL’si üzerinden dinamik bir betik yükleniyor. Bu betik, karışık indeks dizileri kullanarak gerçek kötü amaçlı URL’yi oluşturuyor ve //b4dfa5[.]xyz/favicon.ico adresinden favicon dosyasını ikili veri olarak alıyor. EXIF meta verisi ayrıştırılarak kötü amaçlı JavaScript kodu çıkarılıyor ve new Function() ile çalıştırılıyor. Böylece yük, çalışma zamanında tarayıcıda gizleniyor ve statik analiz araçları tarafından tespit edilemiyor.
Son aşamada, çalınan ödeme bilgileri saldırgan kontrolündeki sunucuya POST yöntemiyle gönderiliyor. Bu saldırı zinciri, tedarik zinciri saldırılarının tipik özelliklerini taşıyor: üçüncü taraf varlıklar üzerinden kötü amaçlı kod enjekte ediliyor, satıcının kod tabanına müdahale edilmiyor ve veri sızıntısı doğrudan kullanıcının tarayıcısından gerçekleşiyor.
Claude Code Security ve Statik Analizin Sınırları
Claude Code Security gibi depo tabanlı statik analiz araçları, yalnızca depoda bulunan veya açıkça beslenen kodları tarayabiliyor. Bu nedenle, üçüncü taraf CDN’lerde, etiket yöneticilerinde veya favicon gibi ikili varlıklarda gizlenen yükleri tespit etmekte yetersiz kalıyorlar. Ayrıca, çalışma zamanı sırasında ortaya çıkan anormal ağ istekleri veya saldırgan kontrolündeki alan adlarının canlı itibarını değerlendiremiyorlar.
Bu durum, çalışma zamanı izleme platformlarının önemini ortaya koyuyor. İstemci tarafında gerçek zamanlı kod davranışını izleyen sistemler, statik analiz araçlarının göremediği tehditleri tespit edebiliyor ve olay müdahale süreçlerine değerli veri sağlıyor.
Diğer Web Tedarik Zinciri Saldırı Vektörleri
Magecart örneği dışında, web tedarik zinciri saldırıları farklı mekanizmalarla da gerçekleşebiliyor:
- Iframe enjeksiyonu: Ele geçirilmiş üçüncü taraf widget’lar, ödeme formlarının üzerine saldırgan kontrolündeki iframe’ler bindirerek kullanıcı etkileşimlerini çalabiliyor.
- Pixel izleyici suistimali: Reklam ve analiz pikselleri, ele geçirilmiş CDN’ler üzerinden veri sızdırma kanallarına dönüşebiliyor.
- DOM tabanlı kimlik bilgisi toplama: Etiket yöneticileri aracılığıyla yüklenen betikler, form alanlarındaki kullanıcı girişlerini sessizce dinleyip çalabiliyor.
Siber Güvenlik Ekipleri İçin Öneriler
Bu tür gelişmiş tedarik zinciri saldırılarına karşı savunma için aşağıdaki adımlar faydalı olabilir:
- Çalışma zamanı izleme (RASP, EDR) çözümlerini uygulayarak tarayıcı tarafındaki anormal aktiviteleri tespit edin.
- Üçüncü taraf bileşenlerin ve CDN kaynaklarının güvenilirliğini düzenli olarak değerlendirin ve tedarik zinciri risk yönetimi süreçlerini güçlendirin.
- Statik kod analiz araçlarını, kendi kod tabanınız ve açık kaynak bileşenler için kullanmaya devam edin ancak bunların sınırlamalarını bilin.
- Web uygulaması güvenlik duvarı (WAF) ve ağ segmentasyonu ile saldırı yüzeyini azaltın.
- Olay müdahale (incident response) süreçlerinizi, çalışma zamanı izleme verileriyle entegre ederek hızlı aksiyon alın.
- Ödeme sayfalarında ve kritik formlarda çok faktörlü kimlik doğrulama (MFA) ve içerik güvenlik politikaları (CSP) uygulayın.
- Loglama ve SIEM sistemleri ile tarayıcı tarafı ağ isteklerini ve kullanıcı davranışlarını analiz edin.
- Güvenlik açıkları için düzenli olarak güncelleme ve yamaları uygulayın.
Teknik Özet
- Kullanılan teknik: Favicon EXIF meta verisi içine gizlenmiş polimorfik JavaScript, dinamik betik yükleme.
- Hedef sektörler: E-ticaret platformları, ödeme sistemleri.
- Saldırı zinciri: 1) Zararsız görünen CDN stub betiği, 2) Favicon’dan EXIF meta verisi ayrıştırma ve kod çalıştırma, 3) Ödeme verilerinin POST ile sızdırılması.
- Önerilen savunma: Çalışma zamanı izleme, tedarik zinciri güvenliği, WAF, MFA, düzenli statik analiz ve olay müdahale entegrasyonu.
Bu gelişmeler, e-posta güvenliği, fidye yazılımı ve bulut güvenliği gibi alanlarda da tedarik zinciri risklerinin ne kadar kritik olduğunu gösteriyor. Ağ segmentasyonu ve IAM politikaları ile bu tür saldırıların etkisi azaltılabilir.