Des dizaines de sites piratés via un simple lecteur vidéo en cloud

Des pirates ont trouvé une méthode pour collecter les données des clients des agences immobilières. Ils ont contaminé les sites Web par du code malveillant intégré dans le lecteur d’une plateforme de vidéo en cloud.

La porte d’entrée de nombreux piratages se fait par un maillon faible situé plus ou moins près de la cible du réseau visé par les hackers. C’est justement le cas de la dernière découverte du laboratoire Unit 42 de la société de cybersécurité de Palo Alto Networks. Les pirates ont utilisé comme vecteur un lecteur vidéo en cloud abondamment intégré sur les sites des agences immobilières.

Avec ce procédé, ils sont parvenus à dérober les informations saisies par les clients des agences sur les sites Web. Les scripts employés sont connus sous le nom de skimmers ou formjackers. Ils permettent de voler des informations sensibles saisies dans des formulaires et notamment les éléments qui permettent de réaliser un paiement en ligne. Au total, l’Unit 42 a trouvé plus de 100 sites immobiliers compromis par cette attaque. C’est peu, mais il ne faut pas oublier que les pirates se sont contentés de n’utiliser qu’un seul vecteur : le lecteur de vidéos en cloud.

Un code Javascript malveillant

La faille provient plus précisément du code JavaScript de la plateforme qui permet de personnaliser le lecteur. C’est ce code qui était contaminé par un skimmer et qui était appelé par les pages Web des agences. Il suffisait que le client de l’agence renseigne les formulaires du site pour que l’ensemble de ces données soient enregistrées, puis exfiltrées. Depuis la découverte, le ménage a été réalisé aussi bien sur la plateforme de vidéo que sur les sites contaminés. Mais le gros souci, c’est qu’il était difficile de soupçonner quoique ce soit. Les pirates avaient suffisamment masqué leur charge virale pour qu’elle ne puisse être détectée par la plupart des solutions de sécurité.