Злоумышленники используют Google Apps Script, платформу для разработки корпоративных приложений, для кражи данных банковских карт. Пострадавшими в этой кампании стали любители онлайн-шопинга и посетители интернет-магазинов.
В частности, атакующие взяли в оборот домен script.google.com, который помогает им укрыть действия от сканеров вредоносных программ и обойти Content Security Policy (CSP, политика защиты контента).
Киберпреступники сделали ставку именно на этот домен, потому что онлайн-магазины доверяют ему. По умолчанию торговые площадки заносят все поддомены Google в белые списки.
Заручившись таким прикрытием, злоумышленники внедряют веб-скиммер, извлекающий платёжную информацию покупателей. Как правило, это JavaScript-код, установленный непосредственно в веб-страницы магазина.
Как только злоумышленники встроят такой скрипт в магазин, они смогут перехватывать вводимые пользователем данные, включающие как платёжную, так и личную информацию. Все извлечённые сведения, само собой, отправляются на сервер злоумышленников.
Схема с Google Apps Script привлекла внимание исследователя в области кибербезопасности Эриа Бранделя. По его словам, сначала украденные данные отправлялись в приложение Google Apps Script через домен script[.]google[.]com как конечную точку.
Далее информация перенаправлялась на другой сервер — analit[.]tech, который располагался в Израиле и контролировался атакующими.
