Nach Angaben von Nebty-Geschäftsführer Benedikt Scheungraber gegenüber BleepingComputer teilen sich 96 Prozent der bestätigten DoppelCart-Shops identische Build-Dateien und laufen auf lediglich 27 Commerce-Backends zusammen. Diese technische Gleichförmigkeit war für die Forscher der Schlüssel, um das Cluster als zusammenhängende Operation zu identifizieren.
Insgesamt imitieren die Seiten 44.182 verschiedene Marken, im Median mit zwei Klonen je Marke. Einige Hersteller stehen jedoch deutlich stärker im Fokus: Für SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA und SPARK PAWS zählte Nebty jeweils mehr als 30 gefälschte Shops.
Bei Tests mehrerer Bezahlseiten aus dem Cluster stieß Nebty auf Code, der sensible Daten zu Zahlungskarten und deren Inhabern einsammelt. Jedes einzelne Feld wird laut dem Bericht, der BleepingComputer vorliegt, in Echtzeit über WebSockets an den Command-and-Control-Server übertragen – die Angreifer sehen die Eingaben also mit, noch während das Opfer tippt.
Besonders heikel: Der Checkout-Code kann auch den Einmalcode weiterreichen, den die Bank des Opfers zur Bestätigung verschickt. Damit lassen sich Sicherheitsmechanismen der Zahlungsabwicklung umgehen.
Einige der falschen Läden zeigen zudem die echte Support-Adresse der imitierten Marke an. Kunden, deren Bestellung nie eintrifft, wenden sich also an das reale Unternehmen – der Schaden für den Ruf der Marke entsteht, ohne dass diese überhaupt beteiligt war.
Ein Versuch von Nebty, den hauptsächlichen Hosting-Provider der DoppelCart-Seiten zu kontaktieren, blieb laut Scheungraber unbeantwortet. Parallel hat das Unternehmen eine durchsuchbare Datenbank aufgebaut, über die Firmen prüfen können, ob ihre Marke im Netzwerk missbraucht wird, um anschließend selbst Maßnahmen zu ergreifen.