Die Sicherheitsforscher von Sansec haben die aktiven Angriffskampagnen diese Woche öffentlich gemacht. Die Schwachstelle betrifft alle Versionen des Funnel Builder vor 3.15.0.3 und hat bislang keine offizielle CVE-Nummer erhalten. Der Entwickler FunnelKit hat bereits einen Patch veröffentlicht.
Die technische Schwachstelle liegt in einem unzureichend geschützten Checkout-Endpoint des Plugins. Dieser ermöglicht es unauthentifizierten Angreifern, eine beliebige interne Methode aufzurufen – ohne dass das Plugin die Berechtigung des Aufrufers prüft oder Einschränkungen für erlaubte Methoden setzt. Auf diese Weise können Kriminelle direkt Daten in die globalen Einstellungen des Plugins schreiben und beliebigen JavaScript-Code injizieren.
Besonders tückisch ist die Verschleierungstaktik: Die Angreifer tarnen ihre Malware als Google Tag Manager (GTM) oder Google Analytics Code. Da Website-Betreiber und Sicherheitsreviewer solche Tracking-Scripts übersehen, fällt der Betrug lange nicht auf. Der eingeschleuste Code öffnet anschließend eine WebSocket-Verbindung zu Servern der Angreifer (beispielsweise „wss://protect-wss[.]com/ws”) und lädt einen maßgeschneiderten Payment-Skimmer herunter.
Jedes Mal, wenn ein Kunde dann einen Kauf tätigt und seine Daten im Checkout eingibt, werden Kreditkartennummer, CVV, Billadresse und weitere Informationen an die Cyberkriminellen weitergeleitet.
Sansec zufolge handelt es sich bei dieser Angriffsform um ein bewährtes Muster der Magecart-Hackergruppe – einer bekannten Cyberkriminellen-Bande, die spezialisiert auf E-Commerce-Betrug ist.
Deutsche Shop-Betreiber sollten sofort handeln: Das Plugin muss auf Version 3.15.0.3 oder höher aktualisiert werden. Darüber hinaus ist eine manuelle Überprüfung aller eingegebenen externen Scripts unter „Einstellungen > Checkout > Externe Scripts” dringend erforderlich. Unbekannte oder verdächtige Script-Einträge müssen sofort entfernt werden. Besonders kritisch: Bereits kompromittierte Shops sollten ihre Sicherheitslogs überprüfen und Kunden benachrichtigen, falls Kartendaten betroffen waren – eine gesetzliche Pflicht nach deutschem und europäischem Datenschutzrecht.