线上交易侧录攻击更难被察觉！骇客滥用网站图示来隐藏攻击指令

你我习以为常的网站图示（Favorite Icon，Favicon），现在成为骇客用来发动侧录交易资料攻击（Web Skimming）的管道。最近端点防护厂商Malwarebytes，揭露一起网站侧录攻击，他们发现骇客不再只是从网站本身的程式码着手，而是借由网站图示的图片档案，将攻击指令和要外泄的交易资料，藏匿在可交换图档格式（EXIF）的中继资料（Metadata），来针对使用WooCommerce插件的WordPress电商网站下手。

在这一波攻击行动里，Malwarebytes发现上述含有侧录指令的图片档案，骇客会在目标电商网站上置换掉该网站的图示，进而偷偷从中发动侧录攻击。而攻击过程里，骇客不只使用上述图示发动侧录行动，也同样用图片来外泄侧录到的信用卡资料。

网站图示是让使用者更容易识别网站的一种机制，是时下大部分网页浏览器都支援的技术。假如网站有加入这个图示，浏览网页的用户会在浏览器分页上看到关连的图案，要是使用者将网站储存在书签（Bookmark）里面，浏览器也会一并显示这个图示，由于这个图示也代表这个网站，还会出现在浏览器分页等地方，因此也有人将它称为URL图示，或者分页图示（Tab Icon）。由于这个图示通常会套用在整个网站上，因此一旦被窜改，整个网站里的网页都会受到相关的威胁。

Malwarebytes在受害的电商网站上进行解析，发现它们网站图示有问题。骇客在著作者的字段中（Exif.image.Copyright），植入有关侧录攻击的指令，这串指令是使用PHP编写的JavaScript，而且还加入了混淆的内容，让研究人员更拆解这些字串的用途。

值得留意的是，与许多侧录攻击的过程里，这起事件骇客也截取到电商买家的资料，像是姓名、账号地址，以及信用卡详细资料等，但收取侧录资料的方法却有所不同，并非直接传送文字档案到外部，而是再度利用图片的型式，来包装向外传输前面提及截取到的资料，而这样的方式比起文字档案，更难让网站管理者察觉资料遭到外泄。