Abo
  • Services:
Anzeige
Unbekannte schöpfen offenbar Kreditkarteninformationen über Lücken in der E-Commerce-Lösung Magento ab.
Unbekannte schöpfen offenbar Kreditkarteninformationen über Lücken in der E-Commerce-Lösung Magento ab. (Bild: Magento)

Security: Datenklau im E-Commerce-System Magento

Unbekannte schöpfen offenbar Kreditkarteninformationen über Lücken in der E-Commerce-Lösung Magento ab.
Unbekannte schöpfen offenbar Kreditkarteninformationen über Lücken in der E-Commerce-Lösung Magento ab. (Bild: Magento)

Aus dem E-Commerce-System Magento schöpfen Unbekannte offenbar massenhaft Kreditkarteninformationen ab. Magento kommt unter anderem bei Ebay zum Einsatz.

Anzeige

Mit einem offenbar andauernden Angriff greifen unbekannte Täter massenhaft und gezielt Kreditkarteninformationen aus der E-Commerce-Lösung Magento ab. Um sich Zugriff auf die Systeme zu schaffen, nutzten sie bislang unbekannte Schwachstellen, berichtet das IT-Sicherheitsunternehmen Sucuri. Die Lücken vermutet der Experte Peter Gramantik entweder in der Kernanwendung oder in einem weit verbreiteten Modul.

Mit dem von den Unbekannten platzierten Code sollen sie sämtliche POST-Abfragen in Magento mitschneiden können. Sie filtern aber offenbar ausschließlich Kreditkarteninformationen heraus. Diese werden zunächst verschlüsselt und anschließend in einer Bilddatei mit einem ungültigen Jpeg-Header gespeichert. Außerdem werde der Zeitstempel der Datei manipuliert, um sie unauffälliger zu machen. Sollte die Bilddatei zufällig geöffnet werden, wird nichts angezeigt. Erst mit dem privaten Schlüssel des Angreifers werden die gestohlenen Daten dechiffriert.

Weitere Lücke entdeckt

Gramantik beschreibt auch einen weiteren Angriff auf Magento, bei dem Code in das Checkout-Modul der E-Commerce-Lösung eingeschleust wurde. Darüber können die Angreifer gesamte Zahlungstransaktionen abgreifen. Die Daten werden anschließend einfach per E-Mail an die Angreifer versandt.

Wo Gramantik die Schwachstellen entdeckt hat, geht aus dem Posting nicht hervor. Ob der Entwickler der Software bereits Patches veröffentlicht hat, ist ebenfalls nicht bekannt. Magento wird unter der Open Software License veröffentlicht. Das Unternehmen gehört seit Juni 2011 zu Ebay. Gramantik weist darauf hin, dass mangelnde Verschlüsselung es den Angreifern leicht macht, die Daten zu klauen. Das Problem dürfte aber auch andere E-Commerce-Hersteller betreffen.


eye home zur Startseite
Baron Münchhausen. 01. Jul 2015

Ja 5.6 :) So ganz stimmt das mit der API aber nicht. Erweitert wird sie (kein BC break...

Moe479 27. Jun 2015

im deutschen sagt man ja auch "anmelden" zu "log in", deine eigene denglische...

c4u 27. Jun 2015

ganz ehrlich... wenn man sich den verlinkten artikel mal durchließt... diese...

jt (Golem.de) 26. Jun 2015

Ist korrigiert. Danke für den Hinweis.

jt (Golem.de) 26. Jun 2015

Gaah! Die Autokorrektur war auf X-Men eingestellt. :) Jetzt stehts da richtig.



Anzeige

Stellenmarkt
  1. eResearchTechnology GmbH, Estenfeld (bei Würzburg)
  2. Viessmann Elektronik GmbH, Allendorf
  3. DR. JOHANNES HEIDENHAIN GmbH, Traunreut (Raum Rosenheim)
  4. Carmeq GmbH, Wolfsburg, Berlin


Anzeige
Top-Angebote
  1. 39,99€
  2. 219,00€
  3. 15,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Nintendo

    Interner Speicher von Switch offenbar schon jetzt zu klein

  2. Noch 100 Tage

    Unitymedia schaltet Analogfernsehen schrittweise ab

  3. Routerfreiheit

    Tagelange Störung bei Aktivierungsportal von Vodafone

  4. Denverton

    Intel plant Atom C3000 mit bis zu 16 Goldmont-CPU-Kernen

  5. Trotz Weiterbildung

    Arbeitslos als Fachinformatiker

  6. Klage gegen Steuernachzahlung

    Apple beruft sich auf europäische Grundrechte

  7. 3D Studio

    Nvidia spendiert Qt Hunderttausende Zeilen Code

  8. Horizon Zero Dawn im Test

    Abenteuer im Land der Maschinenmonster

  9. Qualcomm

    Snapdragon 210 bekommt Android-Things-Unterstützung

  10. New Radio

    Qualcomm lässt neues 5G-Air-Interface testen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
XPS 13 (9360) im Test: Wieder ein tolles Ultrabook von Dell
XPS 13 (9360) im Test
Wieder ein tolles Ultrabook von Dell
  1. Die Woche im Video Die Selbstzerstörungssequenz ist aktiviert
  2. XPS 13 Convertible im Hands on Dells 2-in-1 ist kompakter und kaum langsamer

Mechanische Tastatur Poker 3 im Test: "Kauf dir endlich Dämpfungsringe!"
Mechanische Tastatur Poker 3 im Test
"Kauf dir endlich Dämpfungsringe!"
  1. Patentantrag Apple denkt über Tastatur mit Siri-, Emoji- und Teilen-Taste nach
  2. Kanex Faltbare Bluetooth-Tastatur für mehrere Geräte gleichzeitig
  3. Surface Ergonomic Keyboard Microsofts Neuauflage der Mantarochen-Tastatur

Merkels NSA-Vernehmung: Die unerträgliche Uninformiertheit der Kanzlerin
Merkels NSA-Vernehmung
Die unerträgliche Uninformiertheit der Kanzlerin
  1. US-Präsident Zuck it, Trump!
  2. Begnadigung Danke, Chelsea Manning!
  3. Glasfaser Nun hängt die Kabel doch endlich auf!

  1. Re: Positiv betrachtet: preiswert Speicher erweitern

    My1 | 17:47

  2. Re: Der Zug ist abgefahren

    Reddead | 17:47

  3. Re: Wir suchen staendig Linux Admins und die...

    Eisboer | 17:46

  4. Re: DownloadbääääH

    My1 | 17:44

  5. Re: A3 / BQ Aquaris

    Crossfire579 | 17:43


  1. 16:18

  2. 15:53

  3. 15:29

  4. 15:00

  5. 14:45

  6. 14:13

  7. 14:12

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel