RCZ-Glaskugel: Wartezimmer, Spekulationen, Austausch

Anzeige

Re: RCZ-Glaskugel: Wartezimmer, Spekulationen, Austausch
Diese XO Kurbel wo der Code nicht funktioniert hatte ist wiede im NL. Code funkt bei mir wieder nicht, hat es von euch einer geschafft ?
 
Moin,
kriege jetzt seit heute früh bei allen Zugriffen via Newsletter oder RCZ-Internetseite eine Warnung meines ESET Internet Security: Bedrohung "JS/Spy.Banker.KJ Trojaner"
Habe ich nicht die Tage hier irgendwas von Hacking o.ä. gelesen???
Kriegt noch wer eine Meldung?? Leider gerade hier nur kurz am Rechner. Muss nachher mal genauer (und vor allem in Ruhe) schauen.

Hm gerade mal geguckt.
Der Newsletter selber ist nicht das Problem sondern der Newsletter verlinkt auf die RCZ-Seite und die ist das Problem.
Auf der RCZ Seite wird scheinbar beim Checkout ein "verdächtiges" Script ausgeführt welches dann wiederrum ein Script von einer externen Seite lädt und dieses ausführt.

Siehe hier:
https://sitecheck.sucuri.net/results/https/www.rczbikeshop.com


malware.magento_shoplift​


Description: Malicious scripts injected to Magneto (and other e-commerce) sites that try to steal payment details and site credentials from website forms. Typically the hijack login and checkout forms and send entered data to a remote third-party site controled by the attackers. Sometime the script may redirect online shoppers to fake checkout pages.


Ich habe mal ne Mail an rcz geschrieben und nachgefragt was da los ist.....
 
Zuletzt bearbeitet:
Scheppert das X01 AXS eigentlich auch so fürchterlich wie die GX AXS?
Natürlich tut es das. Ist ja der gleiche Dämpfer drin nur hochwertiges Material verbaut, uA Carbon statt Alu Käfig Vorderseite.
Hm gerade mal geguckt.
Der Newsletter selber ist nicht das Problem sondern der Newsletter verlinkt auf die RCZ-Seite und die ist das Problem.
Auf der RCZ Seite wird scheinbar beim Checkout ein "verdächtiges" Script ausgeführt welches dann wiederrum ein Script von einer externen Seite lädt und dieses ausführt.

Siehe hier:
https://sitecheck.sucuri.net/results/https/www.rczbikeshop.com


malware.magento_shoplift​


Description: Malicious scripts injected to Magneto (and other e-commerce) sites that try to steal payment details and site credentials from website forms. Typically the hijack login and checkout forms and send entered data to a remote third-party site controled by the attackers. Sometime the script may redirect online shoppers to fake checkout pages.


Ich habe mal ne Mail an rcz geschrieben und nachgefragt was da los ist.....
Es geht also doch wieder los. Die 1x KK (von z.B. Revolut) also weiterhin alternativlos
 
Ich habe mal ne Mail an rcz geschrieben und nachgefragt was da los ist.....
Ganz offensichtlich hat da irgendjemand schädliches JavaScript eingeschleust. Ganz am Anfang der Seite wird eine Datei von der dort obfuskierten Domain aisudop[dot]site nachgeladen. Darin ist derzeit nur eine Referenz zum JavaScript des Projekts cross-fetch auf unpkg.

Nachgeladen wird nur, wenn man sich im Checkout befindet. Ich habe gerade einen Testlauf gemacht und DERZEIT scheint es noch so zu sein, dass Kreditkartenzahlungen korrekt auf saferpay umgeleitet werden. Auch wurden noch keine Daten zu einem fremden Host weitergeleitet. Ich denke, dass da bald angesetzt werden wird. Wer auch immer aisudop[dot]site kontrolliert, kann das jedenfalls jederzeit ändern. Das gilt auch für die angezeigten Bankverbindungen, eingegebene Passwörter oder Adressdaten.
 
Das ist dann tatsächlich der erste mir aktiv aufgefallene Fall, bei dem UMatrix mich vermutlich vor einem Schaden bewahren sollte. Da schalte ich normalerweise nur das nötigste frei, d.h. der "neue" Host ist weder für XHR noch für Scripte auf der Whitelist. Mal sehen wie sich die Sache entwickelt...
 
Ganz offensichtlich hat da irgendjemand schädliches JavaScript eingeschleust. Ganz am Anfang der Seite wird eine Datei von der dort obfuskierten Domain aisudop[dot]site nachgeladen. Darin ist derzeit nur eine Referenz zum JavaScript des Projekts cross-fetch auf unpkg.

Nachgeladen wird nur, wenn man sich im Checkout befindet. Ich habe gerade einen Testlauf gemacht und DERZEIT scheint es noch so zu sein, dass Kreditkartenzahlungen korrekt auf saferpay umgeleitet werden. Auch wurden noch keine Daten zu einem fremden Host weitergeleitet. Ich denke, dass da bald angesetzt werden wird. Wer auch immer aisudop[dot]site kontrolliert, kann das jedenfalls jederzeit ändern. Das gilt auch für die angezeigten Bankverbindungen, eingegebene Passwörter oder Adressdaten.

not again...
 
Ganz offensichtlich hat da irgendjemand schädliches JavaScript eingeschleust. Ganz am Anfang der Seite wird eine Datei von der dort obfuskierten Domain aisudop[dot]site nachgeladen. Darin ist derzeit nur eine Referenz zum JavaScript des Projekts cross-fetch auf unpkg.

Nachgeladen wird nur, wenn man sich im Checkout befindet. Ich habe gerade einen Testlauf gemacht und DERZEIT scheint es noch so zu sein, dass Kreditkartenzahlungen korrekt auf saferpay umgeleitet werden. Auch wurden noch keine Daten zu einem fremden Host weitergeleitet. Ich denke, dass da bald angesetzt werden wird. Wer auch immer aisudop[dot]site kontrolliert, kann das jedenfalls jederzeit ändern. Das gilt auch für die angezeigten Bankverbindungen, eingegebene Passwörter oder Adressdaten.
Gibt es jetzt konkreten Handlungsbedarf unsererseits?
Andere Adresse angeben? Nichts mit KK zahlen? Gar nicht kaufen momentan?

Edit: Danke fürs checken!
 
Gibt es jetzt konkreten Handlungsbedarf unsererseits?
Andere Adresse angeben? Nichts mit KK zahlen? Gar nicht kaufen momentan?

Edit: Danke fürs checken!

ich würde aktuell nichts kaufen.

Am 11.01 wurde auch eine CSV mit folgenden Kundenstammdaten veröffentlicht:

ID,Name,Email,Group,Telephone,ZIP,Country,State/Province,"Customer Since",Website,"Don`t Sell My Personal Information"
Die ganze RCZ Website ist scheinbar kompromittiert....
 
Zuletzt bearbeitet:
Gibt es jetzt konkreten Handlungsbedarf unsererseits?
Andere Adresse angeben? Nichts mit KK zahlen? Gar nicht kaufen momentan?
Also ich würde da momentan gar nichts kaufen. Wenn du unbedingt etwas kaufen willst, dann rechne damit, dass deine Adressdaten abgegriffen werden könnten. Wenn du mit KK bezahlst, unbedingt darauf achten, dass du auch bei saferpay landest und nicht irgendwo anders. Selbst dann weißt du zwar nicht sicher, an wen du bezahlst, aber deine Daten sollten nicht abfließen können. Wenn du per Überweisung zahlst, dann nur an die dir bekannte IBAN. Nicht auf die angezeigte vertrauen, wer weiß, wem die gehört.

Auch wenn ich jetzt nicht den Teufel an die Wand malen will und das was hier passiert ist wahrscheinlich eher eine relativ harmlose Kleinigkeit ist: Es sind schon Unternehmen an Angriffen pleite gegangen. Wir wissen derzeit nicht, worauf die Angreifer Zugriff haben und an welche Daten sie schon gekommen sind. Aber um das zu ändern haben sie schon irgendeinen Zugriff auf das Shopsystem oder den Server und könnten von da aus auch an die Datenbank gelangt sein. Im schlechtesten Fall könnten deine bezahlten Bestellungen also auch von dort "verschwinden".

Ich mache übrigens bei jeder Bestellung einen Snapshot der Produktseite mit archive.org, falls Nieves hinterher was ändert. Demnach war gestern gegen Mittag dort noch alles in Ordnung. Was nicht heißt, dass nicht schon früher Zugriffe auf den Server oder das Shopsystem erfolgt sind.
 
ich würde aktuell nichts kaufen.
Am 11.01 wurde auch eine CSV auf breachforum.is mit folgenden Kundenstammdaten veröffentlicht:
ID,Name,Email,Group,Telephone,ZIP,Country,State/Province,"Customer Since",Website,"Don`t Sell My Personal Information"
Die ganze RCZ Website ist scheinbar kompromittiert....
Also ich würde da momentan gar nichts kaufen. Wenn du unbedingt etwas kaufen willst, dann rechne damit, dass deine Adressdaten abgegriffen werden könnten. Wenn du mit KK bezahlst, unbedingt darauf achten, dass du auch bei saferpay landest und nicht irgendwo anders. Selbst dann weißt du zwar nicht sicher, an wen du bezahlst, aber deine Daten sollten nicht abfließen können. Wenn du per Überweisung zahlst, dann nur an die dir bekannte IBAN. Nicht auf die angezeigte vertrauen, wer weiß, wem die gehört.

Auch wenn ich jetzt nicht den Teufel an die Wand malen will und das was hier passiert ist wahrscheinlich eher eine relativ harmlose Kleinigkeit ist: Es sind schon Unternehmen an Angriffen pleite gegangen. Wir wissen derzeit nicht, worauf die Angreifer Zugriff haben und an welche Daten sie schon gekommen sind. Aber um das zu ändern haben sie schon irgendeinen Zugriff auf das Shopsystem oder den Server und könnten von da aus auch an die Datenbank gelangt sein. Im schlechtesten Fall könnten deine bezahlten Bestellungen also auch von dort "verschwinden".

Ich mache übrigens bei jeder Bestellung einen Snapshot der Produktseite mit archive.org, falls Nieves hinterher was ändert. Demnach war gestern gegen Mittag dort noch alles in Ordnung. Was nicht heißt, dass nicht schon früher Zugriffe auf den Server oder das Shopsystem erfolgt sind.

Sollten wir dann erstmal eine falsche Adresse hinterlegen?
 
Gibt es jetzt konkreten Handlungsbedarf unsererseits?
Andere Adresse angeben? Nichts mit KK zahlen? Gar nicht kaufen momentan?

Edit: Danke fürs checken!

Kreditkarte solltest du so oder so schon seit Wochen mit Vorsicht genießen, bzw. dich anderweitig (Revolut) absichern.

Ob du da nun kaufen solltest oder nicht musst du am Ende selbst entscheiden. Persönlich sehe ich das Risiko einer RCZ Bestellung, mit den Infos von un1e4shed und MTBMaverick, definitiv deutlich höher als sonst. Einen Datenabfluss bei RCZ muss man, wenn man ehrlich zu sich selbst ist, immer befürchten. Das hier ist aber schon mehr als nur eine zwei Jahre alte Kopie der Stammdaten...

Sollten wir dann erstmal eine falsche Adresse hinterlegen?
Zu spät ;)

Ganz anderes Thema: Ich habe meine Rückzahlung der XX1 Kassette & Schaltwerk eben erhalten
 
und ich hab Umatrix wieder deaktiviert, weil sonst der login bei rcz (bei mir) nicht funktioniert.
Mit den Settings gehts bei der login (whitelist kann man sicher noch weiter reduzieren):

1705659108067.png

Und das sollte dann alle skripte von anderer seite blocken. Auch nach Aufruf des warenkorbs die zuvor genannte, siehe hier:

1705659059105.png


Aber verlassen tu ich mich nicht darauf, das ist gar nicht mein gebiet.
 
Sollten wir dann erstmal eine falsche Adresse hinterlegen?
Du hast ja auch alte Bestellungen, bei denen du die Daten nicht mehr ändern kannst. Würde also nicht viel bringen. Es gibt die verschwindend geringe Chance, dass es sich hier nur um einen Angriff auf die Browser handelt. In diesem Fall würde es reichen, nichts mehr zu bestellen, die Seite besser nicht mehr aufzurufen. In allen anderen Fällen ist es zu spät.
 
Zurück
Oben Unten