🔍 Contexte

Cet article de recherche publié le 26 octobre 2026 par l’équipe Sansec Forensics documente une attaque de type supply chain ciblant la plateforme e-commerce brésilienne Convertr, opérateur de boutiques en ligne pour des dizaines de marques de mode brésiliennes représentant plus de R$2 milliards de transactions.

🎯 Vecteur d’attaque

L’attaquant a modifié le script tracker Plausible Analytics hébergé sur le serveur propre de Convertr (analytics.convertr.app.br). Le vecteur d’entrée suspecté est CVE-2026-8467, une vulnérabilité critique dans Plausible Community Edition versions 3.0.0 à 3.2.0, permettant l’exécution de commandes à distance via un composant exposé sans authentification à /storybook. Convertr utilisait la version 3.0 installée en 2025, jamais mise à jour malgré le correctif disponible depuis mai 2026.

⚙️ Fonctionnement du skimmer

  • Le fichier script.pageview-props.tagged-events.js a été modifié avec un bloc obfusqué de codes de caractères exécuté via eval
  • Le skimmer s’active uniquement sur les pages checkout.convertr
  • Il capture : numéro de carte, date d’expiration, CVV, nom du porteur et CPF (numéro fiscal brésilien)
  • Les données sont exfiltrées encodées en base64 vers https://1x0.is/ws via fetch() avec mode: no-cors
  • Une mise à jour du skimmer a été observée deux jours après le déploiement initial, ciblant précisément les noms de champs de l’API de paiement Convertr

👤 Acteur de la menace

Sansec suit ce groupe Magecart brésilien depuis juillet 2024. Ses caractéristiques distinctives :

  • Enregistrements pipe-délimités : carte|mois|année|CVV|CPF|nom|tag_victime
  • Endpoints d’exfiltration avec noms portugais (cartao.php, pagamento.php)
  • Domaines courts en .is et autres TLD (snf.is, anl.is, 1x0.is, kk.land, nmn.is, kof.one, xsox.diy), renouvelés tous les quelques mois
  • Ciblage de méthodes de paiement brésiliennes : e.Rede, PagSeguro, Pagar.me, Mercado Pago, PIX
  • Cibles habituelles : Magento, OpenCart, WooCommerce — Convertr représente la première attaque supply chain observée de ce groupe

📅 Chronologie

  • 15 mai 2026 : Plausible corrige CVE-2026-8467 dans CE 3.2.1
  • 24 octobre 2026 05:03 : Dernière copie propre du tracker observée
  • 24 octobre 2026 23:22 : Sansec détecte le skimmer
  • 26 octobre 2026 : Mise à jour du skimmer ; Convertr continue de servir le fichier infecté à 15h34
  • 27 octobre 2026 : Convertr confirme la suppression du skimmer et la mise à jour de Plausible

📄 Nature de l’article

Publication de recherche technique par Sansec Forensics, visant à documenter une attaque supply chain active, identifier un groupe de menace persistant et fournir des indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Brazilian Magecart Group (cybercriminal) —

TTP

  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Magecart card skimmer (stealer)

🟢 Indice de vérification factuelle : 100/100 (haute)

  • ✅ sansec.io — source reconnue (liste interne) (20pts)
  • ✅ 7794 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 14 IOCs dont des hashes (15pts)
  • ✅ 3/6 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Brazilian Magecart Group (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 1x0.is (domain) → VT (15/92 détections)
  • snf.is (domain) → VT (14/92 détections)
  • anl.is (domain) → VT (14/92 détections)

🔗 Source originale : https://sansec.io/research/convertr-plausible-supply-chain-attack