Campagne Magecart : skimmer SVG onload infecte 99 boutiques Magento via PolyShell

🔍 Contexte

Le 7 avril 2026, l’équipe Sansec Forensics a publié une analyse technique détaillant une campagne Magecart de masse ayant compromis 99 boutiques Magento en quelques heures. L’article, publié sur sansec.io, décrit un skimmer de carte bancaire sophistiqué exploitant une technique d’injection inédite via des éléments SVG.

🎯 Vecteur d’entrée et méthode d’injection

Le vecteur d’entrée probable est la vulnérabilité PolyShell (upload de fichier non restreint dans Magento/Adobe Commerce), qui continue d’affecter les boutiques non protégées. L’attaquant injecte un élément SVG de 1x1 pixel dans le HTML de la boutique, dont le gestionnaire onload contient l’intégralité du payload skimmer encodé en base64 via atob() et exécuté via setTimeout. Cette technique évite toute référence à un script externe, contournant ainsi les scanners de sécurité classiques.

💳 Fonctionnement du skimmer (“double-tap”)

Lorsqu’un acheteur clique sur un bouton de paiement, le skimmer :

• Intercepte le clic via useCapture
• Affiche un overlay plein écran imitant une page “Secure Checkout” avec icône de cadenas
• Collecte les données de carte (avec validation Luhn en temps réel) et les informations de facturation
• Redirige silencieusement vers la vraie page de paiement après capture

📤 Exfiltration des données

Les données collectées sont encodées par XOR avec la clé "script" puis en base64, avant d’être envoyées via fetch() POST en mode no-cors (avec fallback iframe caché) vers l’endpoint /fb_metrics.php sur six domaines, déguisé en tracker Facebook Analytics. Après exfiltration, le skimmer pose un marqueur localStorage._mgx_cv = '1' pour éviter une double capture.

🌐 Infrastructure

Les six domaines d’exfiltration résolvent tous vers l’IP 23.137.249.67, hébergée chez IncogNet LLC (AS40663) aux Pays-Bas :

📄 Nature de l’article

Il s’agit d’une analyse technique publiée par Sansec, visant à documenter la campagne, exposer les indicateurs de compromission et les mécanismes techniques du skimmer pour permettre la détection et la réponse à incident.

🧠 TTPs et IOCs détectés

TTP

• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1027.010 — Obfuscated Files or Information: Command Obfuscation (Defense Evasion)
• T1056.003 — Input Capture: Web Portal Capture (Collection)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1505.003 — Server Software Component: Web Shell (Persistence)

IOC

• IPv4 : 23.137.249.67 — AbuseIPDB · VT · ThreatFox
• Domaines : statistics-for-you.com — VT · URLhaus · ThreatFox
• Domaines : statistics-renew.com — VT · URLhaus · ThreatFox
• Domaines : morningflexpleasure.com — VT · URLhaus · ThreatFox
• Domaines : reusable-flex.com — VT · URLhaus · ThreatFox
• Domaines : goingfatter.com — VT · URLhaus · ThreatFox
• Domaines : wellfacing.com — VT · URLhaus · ThreatFox
• URLs : http://statistics-for-you.com/fb_metrics.php — URLhaus
• URLs : http://statistics-renew.com/fb_metrics.php — URLhaus
• URLs : http://morningflexpleasure.com/fb_metrics.php — URLhaus
• URLs : http://reusable-flex.com/fb_metrics.php — URLhaus
• URLs : http://goingfatter.com/fb_metrics.php — URLhaus
• URLs : http://wellfacing.com/fb_metrics.php — URLhaus
• Fichiers : fb_metrics.php

Malware / Outils

• Magecart SVG onload skimmer (stealer)

🟢 Indice de vérification factuelle : 65/100 (haute)

• ⬜ sansec.io — source non référencée (0pts)
• ✅ 4895 chars — texte complet (fulltext extrait) (15pts)
• ✅ 14 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/7 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 7 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• statistics-for-you.com (domain) → VT (18/94 détections)
• statistics-renew.com (domain) → VT (16/94 détections)
• morningflexpleasure.com (domain) → VT (15/94 détections)

🔗 Source originale : https://sansec.io/research/svg-onload-magecart-skimmer