Uočavanje i analiza lažne forme (Forenzika elemenata)

Napad počinje time što na checkout stranici primetite formu za unos kartice koja nije deo vašeg originalnog dizajna. Najčešći znak je da su labele i polja na engleskom jeziku, dok je ostatak sajta na drugom jeziku.

Slika 1 – Lažna kartična forma napadača pojavila se na checkout strani pored legitimne forme procesora plaćanja.

Uradite Desni klik → Inspect direktno na sumnjivo polje. U panelu Elements pronađite karakteristične atribute tog elementa: id, name ili placeholder. Oni su „potpis“ napadača i poslužiće nam kao okidač za zamku.

Slika 2 – Kroz Inspect biramo karakteristične nizove (sq-pf-unq i card_number) na čiju pojavu ćemo aktivirati breakpoint.

Malver je konstruisao kompletnu lažnu formu (imitacija Square sistema) koja je sadržala polja za broj kartice, datum isteka, CVV i opciju čuvanja kartice. Važno je da se ovaj HTML ne nalazi statički u izvornom kodu stranice – malver ga kreira dinamički kroz JavaScript, u trenutku učitavanja. To potvrđujemo pretragom DOM-a (npr. trazimo prefiks sq-pf-unq) :

Slika 2-2 – Pretragom izvornog koda po ključnim rečima (sq-pf-unq, card_number) ne pronalazimo ništa – forma se konstruiše dinamički kroz JavaScript.

Upravo zbog toga što je forma dinamička, standardna pretraga koda ne pomaže. Moramo uhvatiti JavaScript u trenutku kada pravi tu formu.

Postavljanje digitalne zamke (Trap Script)

Pošto se maliciozni kod izvršava dinamički i kratkotrajno, moramo naterati browser da automatski pauzira izvršavanje u trenutku kada se sumnjivi HTML pojavi u DOM-u. Za to koristimo MutationObserver kombinovan sa nativnim debugger naredbama.

Pripremite kod zamke poput ovog tako da aktivira breakpoint (debugger) kada detektuje kreiranje karakterističnih delova maliciozne forme:

(function magecartGlobalSniffer() {
    console.log("Sniffer aktivan. Pratim svaku promenu u DOM-u...");

    // 1. MutationObserver - hvata apsolutno sve što uđe u HTML
    const observer = new MutationObserver(function observerCallback(mutations) {
        mutations.forEach(function mutationHandler(mutation) {
            mutation.addedNodes.forEach(function nodeHandler(node) {
                if (node.nodeType === 1) {
                    const htmlContent = node.outerHTML || "";
                    if (htmlContent.includes('sq-pf-unq') || htmlContent.includes('card_number')) {
                        console.warn("DETEKTOVANO UBACIVANJE ČVORA!");
                        console.log("Element:", node);
                        debugger; // Ovde gledaj Call Stack!
                    }
                }
            });
        });
    });

    observer.observe(document.documentElement, {
        childList: true,
        subtree: true
    });

    // 2. Presretanje document.write (čest metod starijih skimera)
    const originalWrite = document.write;
    document.write = function interceptedWrite(content) {
        if (content && (content.includes('sq-pf-unq') || content.includes('card_number'))) {
            console.warn("DETEKTOVAN document.write!");
            debugger;
        }
        return originalWrite.apply(this, arguments);
    };

    // 3. Pomoćna funkcija za ručnu proveru Stack-a u konzoli
    window.getMalwareStack = function() {
        try {
            throw new Error("Manual Stack Trace");
        } catch (e) {
            return e.stack;
        }
    };

    console.log("Sistem je spreman. Ako se forma pojavi, debugger će se aktivirati.");
})();

Pre nego što nalepite zamku, u DevTools-u otvorite tab Sources i postavite generalni breakpoint što ranije u toku učitavanja stranice. Na taj način browser će stati pre nego što malver dobije šansu da postavi bilo šta, a vi ćete imati prostor da ubacite zamku kroz konzolu. Kada browser stane na tom breakpointu, u tabu Console nalepite gornji kod zamke i pokrenite ga. Od tog trenutka zamka je aktivna i čeka malver:

Slika 4 – Zamka je ubačena kroz konzolu dok je browser pauziran. Čim malver pokuša da konstruiše lažnu formu, automatski će se aktivirati breakpoint.

Hvatanje izvora (Call Stack analiza)

Nastavite učitavanje stranice. Kada malver pokuša da konstruiše lažnu formu, naša zamka će ga uhvatiti i browser će automatski pauzirati izvršavanje. Ekran postaje sivkast, a DevTools otvara tab Sources.

Slika 5 – Zamka je proradila: breakpoint se aktivirao u trenutku kada je malver pokušao da ubaci lažnu formu u DOM.

Ključ je u panelu Call Stack (desna strana u Sources tabu). On prikazuje hronološki lanac funkcija koje su dovele do kreiranja lažne forme. Pratite ga unazad – preskočite prvu stavku (to je naša zamka) i fokusirajte se na drugu ili treću.

Slika 6 – Prateći Call Stack unazad, lociramo tačan JavaScript fajl koji je pokrenuo ubacivanje lažne forme. U našem slučaju to je skript sa eksternog domena cms-manager.net.

Pronalaženje „ulaza“ – kako se malver učitava na vaš sajt

Sada kada znamo URL malicioznog skripta, moramo pronaći gde i kako je ubačen na vaš sajt. Uradite View Page Source (Ctrl + U) i pretražite (Ctrl + F) pronađeni domen ili URL.

Magecart se obično učitava kao naizgled bezazlen script tag u zaglavlju ili podnožju sajta. Naša istraga je otkrila da je u HTML ubačen eksterni skript sa adrese: https://cms-manager.net/script.js

Slika 7 – U izvornom kodu stranice pronalazimo script tag koji učitava maliciozni skript sa eksternog domena. Ovo je „ulaz“ koji je napadač ostavio na serveru.

Ova linija nije deo vašeg originalnog koda – napadač ju je ubacio direktno u fajlove na serveru (najčešće kroz kompromitovan FTP/SSH nalog ili ranjivost u CMS pluginu).