En avril 2021, les spécialistes de Group-IB ont détecté que GrelosGTM abusait de la fonctionnalité légitime de Google Tag Manager pour infecter des boutiques en ligne.

REX Cyber · Veille du 2026-09-15. Faits attribués à www.group-ib.com.

En avril 2021, les spécialistes de Group-IB ont détecté que GrelosGTM abusait de la fonctionnalité légitime de Google Tag Manager pour infecter des boutiques en ligne.

Ce qui s’est passé

Les auteurs de www.group-ib.com rapportent les constatations suivantes :

• En avril 2021, les spécialistes de Group-IB ont détecté que GrelosGTM abusait de la fonctionnalité légitime de Google Tag Manager pour infecter des boutiques en ligne.
• Pour l'infection initiale, le groupe GrelosGTM a injecté ses propres scripts Google Tag Manager dans le code source des sites web ciblés.
• Ce script Google Tag Manager contient une injection malveillante qui charge le script de la prochaine étape depuis le site de l'attaquant via l'URL hXXs://webfaset[.]com/str.css.
• Le payload final est un sniffer JavaScript fortement obscurci pour collecter les informations de carte bancaire des acheteurs via un formulaire de paiement factice.

Acteurs et cibles

Acteurs rapportés

GrelosGTM

Cibles rapportées

Belgium, ; Italy, ; the United Kingdom ; and the United States

Relations explicites de renseignement

• Acteurs associés : GrelosGTM
• Cibles associées : Belgium ; Italy ; Retail (distribution) ; United Kingdom of Great Britain and Northern Ireland ; United States of America

Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.

Repère temporel cité par la source : February 2021.

Contexte temporel — extrait de www.group-ib.com : This specific campaign started in February 2021 and affected at least seven websites running CMS Magento in Belgium, Italy, the United Kingdom, and the United States. At the time of the publication, the JS sniffer has been active on at least four websites. Group-IB Computer Emergency Response Team (CERT-GIB) has informed all the websites infected of the incident.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Entités et contexte du rapport

• Région : Americas ; confiance : 100/100
• Malware : JavaScript sniffer ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Région : Western Europe ; confiance : 100/100
• Pays : United States of America ; alias : US, USA ; confiance : 100/100
• Région : Northern America ; confiance : 100/100
• Groupe d’activité : GrelosGTM ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Pays : Belgium ; alias : BE, BEL ; confiance : 100/100
• Région : Europe ; confiance : 100/100
• Secteur : Manufacturing ; alias : ICS, Industrial Control Systems, Utilities, industrial ; confiance : 100/100
• Secteur : Retail (distribution) ; alias : Commercial, Distribution, Ecommerce, Retail, Wholesale, commerce, e-commerce ; confiance : 100/100
• Région : Southern Europe ; confiance : 100/100
• Pays : Italy ; alias : IT, ITA ; confiance : 100/100
• Région : Northern Europe ; confiance : 100/100
• Pays : United Kingdom of Great Britain and Northern Ireland ; alias : GB, GBR ; confiance : 100/100

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

Relations entre les entités nommées

IOC et observables pour la recherche

5 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T06:25:47+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-15T08:15:42.502Z ; 24 objets publics et 35 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 3016 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : GrelosGTM group abuses Google Tag Manager to attack e-commerce websites
• Types de rapport : threat-report
• Labels : e-commerce attacks, google tag manager abuse, javascript sniffer, magento cms, web skimming, websocket injector
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-15T08:15:42.502Z
• Modification déclarée par la source : 2026-09-26T06:55:54.280Z
• Import de l’objet de renseignement : 2026-09-26T06:55:20.942Z
• Mise à jour de l’objet de renseignement : 2026-09-26T06:55:54.280Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

GrelosGTM group abuses Google Tag Manager to attack e-commerce websites — www.group-ib.com.