Bu kampanya, tespit edilmekten kaçınmak için her biri meşru bir hizmeti kötüye kullanan üç aşamayı birbirine zincirliyor .
Saldırganlar öncelikle hedef mağazadaki bir Google Tag Manager (GTM) konteynerini ele geçiriyor. Her sayfada yüklenen kötü amaçlı bir etiket yerleştiriyorlar. Kod, güvenilir bir analitik alan adı olan googletagmanager.com kaynaklı olduğu için, tipik İçerik Güvenliği Politikalarını (CSP) ve reklam engelleyicileri alarm vermeden aşıyor . GTM, engellenemez bir dağıtım mekanizması haline geliyor.
GTM etiketi, şüpheli üçüncü taraf bir sunucuya yönlenmek yerine, bilgi çalan JavaScript kodunu api.stripe.com adresinden talep ediyor. Saldırganlar, JavaScript kodunun tamamını kendi Stripe hesaplarındaki bir Müşteri meta veri alanında saklıyor ve bunu yazıp okumak için bir test modu gizli anahtarı (sk_test_...) kullanıyor . Kod, mağaza operatörlerinin ödeme altyapılarının bir parçası olarak zımnen güvendiği bir alan adından geldiği için, ağ izleme ve CSP kuralları bu API çağrısını nadiren işaretliyor.
Bir müşteri ödeme sayfasında kredi kartı bilgilerini, kişisel verilerini ve fatura adresini girdiğinde, enjekte edilen kod bu verileri yakalıyor ve saldırganların Stripe hesabına geri gönderiyor. Bilgileri, aynı Stripe API'sini kullanarak sahte Müşteri kayıtları veya meta veri girişleri olarak yazıyor . Sızma trafiği doğrudan
api.stripe.com adresine geri döndüğü için, meşru ödeme API çağrılarıyla kusursuz bir şekilde harmanlanıyor ve hırsızlığı güvenlik duvarı kayıtları ve anomali tespit araçları için neredeyse görünmez kılıyor .
Araştırmacılar tarafından görülen göstergelere göre, tüm operasyon en az 24 Aralık 2025'ten beri aktif durumda .
Stripe'ın test modu gizli anahtarları (sk_test_...), korumalı alan ortamında tam okuma ve yazma erişimi sağlar ve hiçbir ücret ödemeden sınırsız sayıda sahte müşteri ve meta veri alanı oluşturulmasına izin verir . Test anahtarları asla gerçek ödeme tetiklemediği için, kötüye kullanımlarını fark etmek kolaydır. Saldırganlar, birçok kuruluşun test anahtarlarını düşük riskli olarak gördüğü ve korumalı alan etkinliğini canlı trafiğe uyguladıkları titizlikle denetlemediği gerçeğine güvenmektedir.
İlgili ancak ayrı bir tehdit, canlı gizli anahtarların ifşa edilmesidir; bu, bir saldırgana gerçek işlem verilerine doğrudan erişim ve para iadesi yapma veya fon transfer etme yetkisi verir . Bu kampanya gizlilik için test modu anahtarlarını kullanırken, temel prensip aynıdır: Stripe API anahtarları, hangi modda olursa olsun, istemci tarafı kodda veya Google Tag Manager konteynerlerinde asla görünmemesi gereken güçlü kimlik bilgileridir
.
Stripe odaklı kampanya e-ticaret ödeme akışlarını hedef alırken, WordPress site sahipleri 13 Nisan 2026'dan beri aktif olarak istismar edilen bir eklenti açığı nedeniyle eşit derecede acil bir tehditle karşı karşıya .
CVE-2026-3300, Everest Forms Pro eklentisinde (yaklaşık 4.000 aktif kuruluma sahip) kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma (RCE) açığıdır . CVSS ölçeğinde 9.8 puan alan açık, 1.9.12 sürümüne kadar olan tüm sürümleri etkilemektedir
.
Hata, Hesaplama eklentisinin içindeki process_filter() fonksiyonunda bulunur. "Karmaşık Hesaplama" özelliği etkinleştirildiğinde, eklenti kullanıcı tarafından gönderilen metin tipi form alanı değerlerini alır, bunları doğrudan bir PHP kod dizgesiyle birleştirir ve uygun şekilde kaçış karakteri uygulamadan sonucu eval() fonksiyonuna iletir . Girdiye uygulanan
sanitize_text_field() fonksiyonu, tek tırnak işaretlerini veya PHP kod bağlamında özel anlam taşıyan diğer karakterleri etkisiz hale getirmez; bu da bir saldırganın amaçlanan dizgeden kaçmasına ve rastgele komutlar enjekte etmesine olanak tanır .
Wordfence, 29.300'den fazla istismar girişimi engelledi ve saldırganların kalıcı erişim sağlamak için yetkisiz yönetici hesapları oluşturduğunu bildiriyor . Site sahipleri, beklenmedik isimlere sahip yeni yönetici kullanıcıları, sunucudaki olağandışı dosyalar veya şüpheli dış bağlantılar gibi tehlike göstergelerini aramalıdır
.
api.stripe.com'u bir script-src olarak listelemeyin. Eklemek zorundaysanız, alt kaynak bütünlüğü (SRI) karmalarını zorunlu kılın. Satır içi komut dosyalarını engellemek ek bir savunma katmanı sağlar eval() çağrılarını ve tanıdık olmayan IP'lere yapılan dış ağ bağlantılarını arayın. Düzeltme sonrasında WordPress çekirdeği, tema ve eklenti dosya sağlama toplamlarının tam bütünlük kontrolü şarttır
Comments
0 comments