Interpol pakt drie Indonesiërs op voor verspreiden van Magecart-skimmermalware

Internationale politiediensten hebben in Indonesië samen met de landelijke opsporingsdienst drie mannen gearresteerd die worden verdacht van het maken en versturen van de Magecart-malware. Dat is malware die op webshops wordt geplaatst en die creditcardgegevens skimt.

De arrestaties vonden al voor de kerst plaats, maar de politiediensten maakten de arrestaties nu pas bekend. De arrestaties werden uitgevoerd door Interpol in samenwerking met de nationale politie van Indonesië. Er zijn drie verdachten opgepakt van 23, 27 en 35 jaar uit de omgeving van hoofdstad Jakarta. De politiediensten zeiden tijdens de persconferentie dat er hoogstwaarschijnlijk meer bendeleden actief waren met Magecart en dat dit slechts een eerste stap was van een grotere operatie tegen de bende.

De drie verdachten waren betrokken bij een Magecart-bende. Magecart is een creditcardskimmer die bestaat uit een stuk JavaScript-code. Die wordt bij webshops geïnstalleerd en steelt vervolgens data van klanten die daar afrekenen. Volgens Interpol gebruikten de criminelen de gestolen betaalgegevens om goederen te kopen die ze vervolgens op Indonesische onlinemarktplaatsen voor een lagere prijs verkochten. Het ging vooral om elektronica en luxegoederen. De arrestaties vielen onder een grotere operatie genaamd Night Fury. Daarbij werkten politiediensten uit vooral Aziatische landen samen om command-and-control-servers op te sporen en in beslag te nemen. De verdachten zouden die servers hebben beheerd.

Interpol werkte tijdens de operatie samen met verschillende beveiligingsbedrijven. Onder andere het Singaporese Group-IB werkte samen met de opsporingsdiensten. Volgens dat bedrijf heeft de bende in totaal honderden websites geïnfecteerd met de Magecart-malware. De criminelen zouden vpn's hebben gebruikt om toegang te krijgen tot de c&c-servers, waarvan sommige nog steeds actief zijn.

Reacties (8)

[Firebird55]

De podcast Darknet Diaries heeft hier vorig jaar november een hele interessante episode over gemaakt. Deze gaat wat dieper in op de verspreiding en de werking van de malware. https://darknetdiaries.com/episode/52/

[Mirr0r]

Sowieso is darknet diaries een plus! Het was een zeer interessante aflevering waarin je toch een beetje een beeld krijgt wat ze precies doen en hoe ze dit precies doen.

Ik begrijp alleen niet zo goed waarom er nog geen oplossing is voor magecart. In de aflevering worden ook adviezen gegeven om dit te voorkomen. Misschien dat het geforceerd moet worden of dergelijke om bijvoorbeeld geen ads in afrekening pagina's te gebruiken.

Het blijft in ieder geval een interessante onderwerp.

[Cerberus_tm]

Ik weet niet of iemand dit weet, maar zou die Magecart als een apart .js-bestand op de server gezet worden? Of zou de kwaadaardige code geïntegreerd worden met bestaande .js-bestanden (of zelfs inline-Javascript)?

[walteij]

De criminelen zouden vpn's hebben gebruikt om toegang te krijgen tot de c&c-servers, waarvan sommige nog steeds actief zijn.

Dat laatste vind ik toch wel kwalijk. Je zou van interpol verwachten dat ze die C&C servers ondertussen down hebben gehaald, of er wel heel stevige taps op hebben staan, waarmee geinfecteerde systemen en de andere bendeleden kunnen worden opgespoord.

Edit: Op die manier kunnen de eigenaren van de geinfecteerde websites worden geinformeerd en kunnen zij passende maatregelen nemen, en kunnen ook de andere bendeleden worden opgepakt.

[Reactie gewijzigd door walteij op 23 juli 2024 18:34]

[Mel33]

Hoe wil je ze pakken als je ze waarschuwt, meeste keren (of in alle gevallen) krijg jij je geld terug op de CCard.

Ben ook benieuwd of ze dus sites aanpasten die vorige week hier een item had, bij deze bijv nieuws: Twee marktplaatsen voor sportwedstrijdkaarten geïnfecteerd met credit...

[xbeam]

Dus jij vindt het normaal dat verzekeraars of burgers opdraaien voor de schade, omdat politie/nterpol deze diefstal extra lang door laat gaan vanwege onderzoek.

Door een aantal van de Command & Control services niet offline te halen geven ze beheerders ook de kans geïnfecteerde websites te muteren en migreren naar een nieuwe C&C omgeving en kan het hele onderzoek weer opnieuw beginnen.

[Reactie gewijzigd door xbeam op 23 juli 2024 18:34]

[OxWax]

[...]

Dat laatste vind ik toch wel kwalijk. Je zou van interpol verwachten dat ze die C&C servers ondertussen down hebben gehaald, of er wel heel stevige taps op hebben staan, waarmee geinfecteerde systemen en de andere bendeleden kunnen worden opgespoord.

Waarom denkt u dat dit niet het geval zou zijn?

[Timo002]

Gaat dit ook specifiek over Magneto webshops?