Die Sicherheitsforschung von Sansec offenbart eine beeindruckend raffinierte Angriffsmethode. Die Malware wird als winzige SVG-Grafik in den HTML-Code der betroffenen Websites injiziert. Ein sogenannter “onload”-Handler enthält den gesamten Skimmer-Code, der in Base64 verschlüsselt ist und mittels JavaScript-Funktion atob() dekodiert wird. Anschließend wird er über setTimeout() ausgeführt. Diese Technik ist bewusst konzipiert, um Sicherheits-Scanner zu umgehen – denn es werden keine externen Skripte referenziert, die typischerweise Alarme auslösen würden. Die komplette Malware lebt inline als einzelne verschlüsselte Zeichenkette.
Der Ablauf für die Opfer ist perfide: Beim Klick auf den Checkout-Button wird ein gefälschtes “Sicherheitskasse”-Overlay angezeigt, das optisch kaum vom Original zu unterscheiden ist. Ahnungslose Käufer geben ihre Kartendaten ein, die in Echtzeit mittels Luhn-Verifikation überprüft werden – einem Standard-Verfahren zur Validierung von Kartennummern. Dann werden die Daten in XOR-verschlüsseltem und Base64-obfuskiertem JSON-Format an die Angreifer weitergeleitet.
Die Sansec-Forscher identifizierten sechs Exfiltrations-Domains, alle gehostet bei IncogNet LLC (AS40663) in den Niederlanden. Jede Domain sammelt Daten von 10 bis 15 bestätigten Opfern. Das deutet auf eine gut organisierte Operation hin.
Die Grundlage für diese Angriffe bildet die PolyShell-Schwachstelle (CVE aus März 2024), die unauthentifizierte Code-Ausführung ermöglicht. Sansec warnte bereits, dass über die Hälfte aller verwundbaren Shops von PolyShell-Attacken betroffen waren – teilweise mit WebRTC-basierten Skimmern für verdeckte Datenexfiltration.
Adobes Reaktion bleibt problematisch: Ein Sicherheits-Patch existiert bislang nur in der Pre-Release-Version 2.4.9-alpha3+. Das Unternehmen hat auf wiederholte Anfragen zu diesem Thema nicht geantwortet. Dies lässt viele Shop-Betreiber in einer Grauzone zurück.
Experten empfehlen Magento-Administratoren, alle verfügbaren Mitigations-Maßnahmen sofort zu implementieren und wenn möglich zur neuesten Beta-Version zu aktualisieren. Für deutsche Unternehmen, die Magento nutzen, ist sofortige Handlung erforderlich – Zeit ist ein kritischer Faktor.