Kampanye ini merangkai tiga tahap, masing-masing menyalahgunakan layanan sah untuk menghindari deteksi .
Penyerang pertama-tama mengkompromikan kontainer Google Tag Manager (GTM) di toko target. Mereka menyisipkan tag berbahaya yang dimuat di setiap halaman. Karena skrip berasal dari googletagmanager.com, domain analitik tepercaya, skrip ini melewati kebijakan Content Security Policy (CSP) dan pemblokir iklan pada umumnya tanpa menimbulkan alarm . GTM menjadi mekanisme pengiriman yang tidak dapat diblokir.
Alih-alih memanggil server pihak ketiga yang mencurigakan, tag GTM meminta muatan skimmer dari api.stripe.com. Penyerang menyimpan seluruh skimmer JavaScript di dalam kolom metadata Pelanggan di akun Stripe mereka sendiri, menggunakan kunci rahasia mode uji (sk_test_...) untuk menulis dan mengambilnya . Skimmer tiba dari domain yang secara implisit dipercaya oleh operator toko sebagai bagian dari infrastruktur pembayaran mereka, sehingga pemantauan jaringan dan aturan CSP jarang menandai panggilan API tersebut.
Saat pembeli memasukkan detail kartu kredit, informasi pribadi, dan alamat penagihan di halaman checkout, skimmer yang disuntikkan menangkap data tersebut dan mengirimkannya kembali ke akun Stripe penyerang. Skimmer menulis informasi itu sebagai catatan Pelanggan palsu atau entri metadata menggunakan API Stripe yang sama . Karena lalu lintas eksfiltrasi kembali menuju
api.stripe.com, data ini berpadu sempurna dengan panggilan API pembayaran yang sah, membuat pencurian ini pada dasarnya tidak terlihat oleh log firewall dan alat deteksi anomali .
Seluruh operasi telah aktif setidaknya sejak 24 Desember 2025, menurut indikator yang dilihat oleh para peneliti .
Kunci rahasia mode uji Stripe (sk_test_...) memberikan akses baca dan tulis penuh dalam lingkungan sandbox dan memungkinkan pembuatan pelanggan dan kolom metadata palsu tanpa batas secara gratis . Karena kunci uji tidak pernah memicu tagihan nyata, penyalahgunaannya mudah terlewatkan. Para penyerang mengandalkan fakta bahwa banyak organisasi memperlakukan kunci uji sebagai aset berisiko rendah dan gagal mengaudit aktivitas sandbox dengan ketelitian yang sama seperti yang mereka terapkan pada lalu lintas mode langsung.
Ancaman terkait tetapi terpisah adalah tereksposnya kunci rahasia mode langsung, yang akan memberi penyerang akses langsung ke data transaksional nyata dan kemampuan untuk menerbitkan pengembalian dana atau mentransfer dana . Meskipun kampanye ini menggunakan kunci mode uji untuk sembunyi-sembunyi, prinsip dasarnya sama: Kunci API Stripe, dalam mode apa pun, adalah kredensial kuat yang tidak boleh muncul di kode sisi klien atau kontainer Google Tag Manager
.
Sementara kampanye Stripe menargetkan alur checkout e-dagang, pemilik situs WordPress menghadapi ancaman yang sama mendesaknya dari kerentanan plugin yang telah dieksploitasi secara aktif sejak 13 April 2026 .
CVE-2026-3300 adalah kelemahan remote code execution tanpa otentikasi di plugin Everest Forms Pro, yang memiliki sekitar 4.000 instalasi aktif . Kerentanan ini memiliki skor 9.8 pada skala CVSS dan mempengaruhi semua versi hingga dan termasuk 1.9.12
.
Kutu ini terletak di fungsi process_filter() di dalam add-on Calculation. Ketika fitur "Complex Calculation" diaktifkan, plugin ini mengambil nilai yang dikirimkan pengguna dari bidang formulir tipe string, menggabungkannya langsung ke dalam string kode PHP, dan meneruskan hasilnya ke eval() tanpa pengamanan yang tepat . Fungsi
sanitize_text_field() yang diterapkan pada input tidak menetralkan tanda kutip tunggal atau karakter lain yang memiliki makna khusus dalam konteks kode PHP, memungkinkan penyerang untuk keluar dari string yang dimaksud dan menyuntikkan perintah arbitrari .
Wordfence telah memblokir lebih dari 29.300 percobaan eksploitasi dan melaporkan bahwa penyerang menyebarkan akun administrator tidak sah sebagai bagian dari proses pasca-eksploitasi . Pemilik situs harus mencari indikator kompromi seperti pengguna admin baru dengan nama tak terduga, file mencurigakan di server, atau koneksi keluar yang janggal
.
api.stripe.com sebagai script-src kecuali benar-benar diperlukan. Jika harus menyertakannya, terapkan hash sub-resource integrity (SRI). Memblokir skrip inline memberikan lapisan pertahanan lain eval() yang tidak di-escape eval() yang mencurigakan, dan koneksi jaringan keluar ke IP tidak dikenal. Pemeriksaan integritas penuh WordPress pada checksum file inti, tema, dan plugin sangat penting setelah remediasi
Comments
0 comments