Ataques de StyleSmuggler Despliegan PSK Agent RAT contra Tiendas de Magento

Resumen

Una campaña coordinada está atacando tiendas de Magento y Adobe Commerce explotando la vulnerabilidad StyleSmuggler (CVE-2026-75650). Los atacantes despliegan una cadena de carga útil de múltiples etapas que incluye un script dropper, el RAT PSK Agent basado en Go, y webshells en PHP. La actividad parece altamente automatizada y se enfoca en entornos de comercio electrónico expuestos a internet.

Investigación

Imperva identificó cinco grupos de ataque que se originan de un conjunto limitado de direcciones IP fuente y que tienen como objetivo el /paypal/transparent/response/ punto final. El análisis descubrió un dropper llamado psk_agent.sh que descarga un binario Go (chi_down) y un webshell en PHP (zer4.php). Los comentarios en chino encontrados en el script sugieren un operador de habla china.

Mitigación

Las organizaciones deben aplicar el hotfix de Adobe VULN-39341 para remediar la vulnerabilidad StyleSmuggler. Es importante notar que solo parchear no elimina mecanismos de persistencia existentes como RATs o webshells. También se recomienda encarecidamente revisar directorios escribibles y ejecutables, incluidas las carpetas de medios públicas, para detectar archivos no autorizados.

Respuesta

Cuando se detecta actividad maliciosa, las organizaciones deben tratar los sistemas afectados como completamente comprometidos e iniciar procedimientos completos de respuesta a incidentes. Esto incluye rotar las claves de cifrado de Magento, credenciales de base de datos, credenciales de administrador y claves SSH. Los equipos de seguridad también deben buscar procesos no autorizados que se hagan pasar por servicios legítimos del sistema y bloquear la infraestructura de campaña identificada.

Ejecución de simulación

• Narrativa del ataque y comandos: El atacante explota una vulnerabilidad en una extensión de Magento para obtener ejecución remota de código. Para asegurar que el PSK Agent RAT sobreviva a un reinicio del servidor o terminación de sesión, el atacante inyecta una carga útil de PHP que utiliza la función shell_exec . La carga útil intenta específicamente ejecutar un proceso en segundo plano usando nohup para ocultar la ejecución de la sesión de terminal inmediata, intentando efectivamente establecer persistencia y un shell inverso.

• Script de prueba de regresión:

  <?php
  /**
   * Simulación de Despliegue de PSK Agent RAT
   * Este script imita la explotación de CVE-2026-75650
   */
  
  // El comando objetivo: un proceso en segundo plano usando nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Usando la función específica 'shell_exec' objetivo de la regla de detección
  echo "Intentando despliegue...n";
  $output = shell_exec($cmd);
  
  echo "Comando ejecutado. Revisar logs para detección.n";
  ?>

• Comandos de limpieza:

  # Eliminar la carga útil maliciosa simulada y el script PHP de prueba
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Matar cualquier proceso en segundo plano restante si realmente fueron creados
  pkill -f psk_agent_payload