Quelque chose de nauséabond a injecté du JavaScript volant les identifiants de connexion dans 50 000 sessions de banque en ligne.

IBM Security a analysé du code JavaScript qui avait été injecté dans les pages de banque en ligne des gens pour voler leurs informations de connexion, affirmant que 50 000 sessions d’utilisateur avec plus de 40 banques à travers le monde avaient été compromises par le logiciel malveillant en 2023. À en juger par les preuves en main, il semble que le malware Windows DanaBot, ou quelque chose de similaire ou de connecté à celui-ci, infecte les ordinateurs des victimes – généralement à partir d’emails indésirables et par d’autres moyens – puis attend que l’utilisateur visite leur site bancaire. À ce moment-là, le malware se déclenche et injecte du JavaScript dans la page de connexion. Ce code injecté s’exécute sur la page dans le navigateur, et intercepte les informations d’identification de la victime lorsqu’elles sont entrées, ce qui peut être transmis aux fraudeurs pour exploiter et vider les comptes. Le code a été repéré en train d’attaquer des clients de dizaines d’organisations financières en Amérique du Nord, en Amérique du Sud, en Europe et au Japon, a rapporté Tal Langus d’IBM cette semaine. Les malfaiteurs derrière cette entreprise ont acheté les noms de domaine utilisés par le code JavaScript en décembre 2022, et ont lancé leur campagne d’injection de contenu Web peu de temps après. On nous dit que le vol d’informations d’identification continue jusqu’à aujourd’hui. Le JS cible une structure de page Web que plusieurs banques utilisent pour leurs sites, et il semble que cela permette également de récupérer des jetons d’authentification à plusieurs facteurs des marques. Lorsque la page bancaire demandée « contient un certain mot-clé et un bouton de connexion avec un ID spécifique présent, du nouveau contenu malveillant est injecté », a expliqué Langus. « Le vol d’informations d’identification est exécuté en ajoutant des écouteurs d’événements à ce bouton, avec une option pour voler un jeton de mot de passe à usage unique (OTP) avec. »