StyleSmuggler 攻击部署 PSK Agent RAT 对抗 Magento 商店

摘要

一个协调的行动正在利用StyleSmuggler漏洞（CVE-2026-75650）攻击Magento和Adobe Commerce商店。攻击者部署了一个多阶段载荷链，包括一个shell脚本投放器、基于Go的PSK Agent RAT和PHP网页shell。该活动看似高度自动化，专注于面向互联网的电子商务环境。

调查

Imperva识别出五个攻击集群，这些集群来源于一组有限的源IP地址，并且瞄准 /paypal/transparent/response/ 端点。分析发现了一个名为 psk_agent.sh 的投放器，它会下载一个Go二进制文件（chi_down）和一个PHP网页shell（zer4.php）。在脚本中发现的中文注释表明操作员可能是讲中文的人。

缓解措施

组织应应用Adobe的VULN-39341热修复程序以修复StyleSmuggler漏洞。需要注意的是，仅仅打补丁并不能消除现有的持久性机制，如RAT或网页shell。强烈建议检查可写和可执行目录，包括公共媒体文件夹，以查找未授权的文件。

响应

当检测到恶意活动时，组织应将受影响的系统视为完全被攻陷，并启动完整的事件响应程序。这包括轮换Magento加密密钥、数据库凭证、管理员凭证和SSH密钥。安全团队还应搜索伪装成合法系统服务的未授权进程，并封锁已识别的攻击基础设施。

模拟执行

• 攻击叙述与命令： 攻击者利用Magento扩展中的漏洞获得远程代码执行权限。为确保PSK Agent RAT在服务器重启或会话终止后存续，攻击者注入利用 shell_exec 函数的PHP负载。该负载特别尝试使用 nohup 运行后台进程，以隐藏在即时终端会话中的执行，实质上试图建立持久性和反向shell。

• 回归测试脚本：

  <?php
  /**
   * PSK Agent RAT 部署模拟
   * 该脚本模拟对CVE-2026-75650的利用
   */
  
  // 目标命令：使用nohup的后台进程
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // 使用检测规则目标的特定函数 'shell_exec'
  echo "正在尝试部署...n";
  $output = shell_exec($cmd);
  
  echo "命令已执行。检查日志以进行检测.n";
  ?>

• 清理命令：

  # 删除模拟的恶意负载和测试PHP脚本
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # 如果确实创建了任何剩余的后台进程，则杀掉它们
  pkill -f psk_agent_payload