黑客劫持 Convertr 分析脚本以窃取支付卡数据

据报道，一个信用卡窃取团伙攻陷了电商平台 Convertr 使用的一个共享分析脚本，以在结账期间窃取购物者的支付数据。

该活动于 10 月 24 日被发现，被归因于一个巴西团伙，该团伙至少自 2024 年 7 月以来一直活跃，专注于感染运行 Magento、OpenCart 和 WooCommerce 平台的在线商店。

Convertr 是一个巴西电商平台，为该国的数十个主要时尚品牌提供在线商店和结账系统，处理 20 亿雷亚尔（3.7 亿美元）的销售额。

电商安全公司 Sansec 表示，攻击者修改了托管在 Convertr 运营的自管理服务器上的 Plausible 跟踪器文件。

Sansec 怀疑攻击者利用了 CVE-2026-8467——一个影响 Convertr 过时 Plausible Community Edition 安装的未认证命令执行漏洞——来获得初始访问权限。然而，这尚未得到确认。

在获得访问权限后，攻击者将恶意代码注入到托管在 Convertr 基础设施上的一个合法 Plausible 分析跟踪器中，该跟踪器会在所有使用该平台的商家的结账页面上加载。

Sansec 表示，该窃取程序的早期版本使用通用的支付字段模式，但到 10 月 26 日，攻击者推送了一个更精细的版本，专门针对 Convertr 确切的支付 API 字段名称。

注入的窃取程序被配置为从结账页面窃取以下数据类型：

• 支付卡号
• 有效期
• CVV 码
• 持卡人姓名
• CPF 纳税人识别号

研究人员建议，自 10 月 24 日以来在结账地址页面含有 'checkout.convertr' 字符串的巴西商店用卡付款的人，应立即联系其银行并要求冻结卡片。

在今日的一份更新中，Sansec 证实 Convertr "移除了窃取程序并将 Plausible 升级到已修补版本"，并指出该公司宣布正在通知受影响的商家和支付提供商。

BleepingComputer 已联系 Convertr 就该事件发表声明，但尚未收到回应。

Sansec 研究人员警告称，浏览器缓存可能使恶意脚本在清理后仍在受影响站点上活跃长达 24 小时，因此客户在下新订单前应清除缓存，即使威胁已被消除。

在网上购物时保护支付卡详情的一种方法是使用在交易后立即失效的一次性虚拟卡。