クレカ情報の流出があったタリーズオンラインストアのWebアーカイブから原因を特定した猛者が現れる→集まった有識者たちにより巧妙な手口が明らかに

motikan2010 @motikan2010

タリーズオンラインストアのWebアーカイブ(2024.02.29)にナンカある。 pic.x.com/uGQwl9g669

unigame @unigame619232

タリーズハッキング原因特定されている。 すごい。 x.com/motikan2010/st…

ガーすけ @galabbit

全然わかんないけどなんか凄い x.com/motikan2010/st…

反転熊 @ysyatu

@motikan2010 恐ろしく読みにくいJS

オトナシII @otonashixx

@motikan2010 超難読化してあってこんなのコワイ！

motikan2010 @motikan2010

Sucuri も悪いJSだと判断してる...。 pic.x.com/umHNIKuBmg

motikan2010 @motikan2010

難読化解除 φ(´･ω･｀)ﾒﾓﾒﾓ pic.x.com/bEtq97U38e

motikan2010 @motikan2010

URL先はメンテ中...φ(´･ω･｀)ﾒﾓﾒﾓ pic.x.com/k0XW5v3MeZ

あらおじ @ojigunma

すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st…

Niishi Kubo | GitLab,Limeboard @n11sh1_

クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信をブロックできた可能性が高い。 ちなみに GitLab DAST で Content-Security-Policy の脆弱性が検知できるので、防衛策としてDevSecOpsの重要性を感じた。

Niishi Kubo | GitLab,Limeboard @n11sh1_

該当ライブラリはCDNで配布されているものではなく、本番環境の /Js/Slick/slick.min.js にアクセスしているので、全てのslick.min.jsが影響ある訳では無さそう。改ざん経路やタイミングは内部調査しないと分からない。 ただ一つ言えることとしては、コードの難読化解除 x.com/motikan2010/st… するとslick.min.jsの最終行に eval() 関数で悪意あるドメインに対して入力したクレカ情報を通信しているので、レスポンスヘッダーに Content-Security-Policy が適切に設定されていれば防げた可能性は高い。 具体的には ▼ connect-src ディレクティブの設定 スクリプトからの外部リソースへの通信先を制限して、マルウェアが悪意あるドメインにデータを送信するを防ぐ。 例. Content-Security-Policy: connect-src 'self' https://api.trustedservice. com; ▼ eval() の禁止 Content-Security-Policy はデフォルトで eval() の使用を禁止しているが、 'unsafe-eval' を指定することで許可できる。eval() が全て悪さをする訳では無いので実行環境に応じて慎重に精査する必要があるが 'unsafe-eval' を指定しなければ、今回のようなケースは防げる可能性もある。

koromoko10 @koromoko10

なに書いてるかわからないけど何か危ないことだけはわかる(eval...) x.com/motikan2010/st…

s-yoshiki ♨️ @s_yoshiki_dev

eval という文字列を見た瞬間、「あっ察し」ってなった x.com/motikan2010/st…

AXotoko💙💛HongFu @AXotoko

eval←もうヤバい x.com/motikan2010/st…

urakata @urakata6

もうeval()と謎文字列見た時点で「やられておりますねえ」って感じよね x.com/motikan2010/st…

はっしー @hasio__

eval…そうかまた君かぁ x.com/motikan2010/st…

ヒライ @no_hirai

引用見ると タリーズが入れてるライブラリになんかやられた感じ？ ライブラリにeval あってそこから別サーバに情報渡してた感じなのかな

y.iwata @y1wtt

あーslick.jsの中に埋め込まれてたのか…… これは人間では気付けなさそう x.com/motikan2010/st…

すいみん💤 @cg_method

スライダーでよく使われるやつやん。 x.com/n11sh1_/status…

Kuninaga｜転職活動中 @kuninagaaa

これはおそらくクロスサイトスクリプティング(XSS)かな？ 今回の場合は悪意あるスクリプトを通じて利用者のブラウザで実行されるコードを持ち込み、利用者のCookieやセッション情報を盗んだということみたいですね。入力のサニタイズやCSPである程度対策は可能。以前バーカーズバーで聞いた記憶。 x.com/motikan2010/st…