https://cyberveille.ch/tags/gtm-msdhv3hg/ Recent content in GTM-MSDHV3HG on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 13 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-13-magecart-abuse-stripe-et-google-tag-manager-comme-infrastructure-c2-et-exfiltration/ Sat, 13 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-13-magecart-abuse-stripe-et-google-tag-manager-comme-infrastructure-c2-et-exfiltration/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 4 juin 2026 par la Sansec Forensics Team, cet article de recherche documente une famille <strong>Magecart</strong> inédite qui détourne deux services cloud légitimes — <strong>Google Tag Manager (GTM)</strong> et <strong>Stripe</strong> — comme infrastructure de commande et d&rsquo;exfiltration, rendant la détection par CSP ou filtres réseau quasi impossible.</p> <h2 id="-mécanisme-dattaque">⚙️ Mécanisme d&rsquo;attaque</h2> <p>L&rsquo;attaque se décompose en trois phases :</p> <ul> <li><strong>Livraison du code</strong> : Un loader est injecté dans un vrai conteneur GTM (<code>GTM-P6KZMF63</code> et autres). Sur les pages de checkout, il récupère le skimmer depuis les métadonnées d&rsquo;un client Stripe (<code>cus_TfFjAAZQNOYENR</code>) et l&rsquo;exécute via <code>new Function()</code> (RCE arbitraire côté client).</li> <li><strong>Collecte</strong> : Le skimmer se greffe sur le bouton de checkout <strong>Magento/Adobe Commerce</strong>, capture les champs de carte (numéro, expiration, CVV), l&rsquo;adresse de facturation et le total de commande, encode les données en <strong>XOR avec la clé <code>EGAU3X9PAMJ8RYRNJSPV</code></strong>, et les stocke dans <code>localStorage</code> sous la clé <code>cus_customer_id</code>.</li> <li><strong>Exfiltration</strong> : 1 seconde après chaque chargement de page, puis toutes les 60 secondes, les données sont envoyées à l&rsquo;API Stripe (<code>api.stripe.com/v1/customers</code>) sous forme de faux client, avec les données volées réparties dans les champs <code>metadata[customer_id]</code> et <code>metadata[device_id]</code>.</li> </ul> <h2 id="-clé-stripe-exposée">🗝️ Clé Stripe exposée</h2> <p>Chaque loader embarque une <strong>clé secrète Stripe en clair</strong> (<code>sk_test_51Shuxz4fAPbvfTkr[...]</code>) dans le JavaScript côté client. Le préfixe <code>sk_test_</code> indique l&rsquo;utilisation du mode test Stripe, exploité comme infrastructure gratuite et durable.</p>