StyleSmuggler 공격: Magento 스토어를 대상으로 PSK Agent RAT 배포

요약

조율된 캠페인이 StyleSmuggler 취약점 (CVE-2026-75650)을 악용하여 Magento 및 Adobe Commerce 스토어를 대상으로 하고 있습니다. 공격자들은 쉘 스크립트 드로퍼, Go 기반 PSK Agent RAT, PHP 웹셸 등을 포함한 다단계 페이로드 체인을 배포합니다. 이 활동은 매우 자동화되어 있으며 인터넷에 노출된 전자상거래 환경에 집중하고 있습니다.

조사

Imperva는 제한된 소스 IP 주소 세트에서 발생한 5개의 공격 클러스터를 식별했으며, 타겟팅은 /paypal/transparent/response/ 엔드포인트입니다. 분석 결과, psk_agent.sh 이라는 드로퍼가 발견되었으며, 이는 Go 바이너리 (chi_down)와 PHP 웹셸 (zer4.php)을 다운로드합니다. 스크립트에서 발견된 중국어 언급은 중국어를 사용하는 운영자가 있음을 시사합니다.

완화 조치

조직은 StyleSmuggler 취약점을 보완하는 Adobe의 VULN-39341 핫픽스를 적용해야 합니다. 패치만으로는 RAT나 웹셸과 같은 기존 지속성 메커니즘을 제거할 수 없다는 점을 주의해야 합니다. 공용 미디어 폴더를 포함한 쓰기 가능한 실행 디렉토리를 리뷰하여 무단 파일이 존재하지 않는지 확인하는 것도 강력히 권장됩니다.

대응 조치

악성 활동이 탐지되면 조직은 영향받은 시스템을 완전히 타협당한 것으로 취급하고, 전체 사건 대응 절차를 시작해야 합니다. 여기에는 Magento 암호화 키, 데이터베이스 자격증명, 관리자 자격증명 및 SSH 키를 교체하는 것이 포함됩니다. 또한 보안 팀은 정상 시스템 서비스로 가장한 무단 프로세스를 찾아야 하며, 확인된 캠페인 인프라를 차단해야 합니다.

시뮬레이션 실행

• 공격 서사 및 명령 공격자는 원격 코드 실행을 얻기 위해 Magento 확장의 취약점을 악용합니다. 서버 재부팅 또는 세션 종료 후에도 PSK Agent RAT이 살아남도록 하기 위해, 공격자는 shell_exec 함수를 활용하는 PHP 페이로드를 주입합니다. 이 페이로드는 특히 nohup 을 사용하여 백그라운드 프로세스를 실행하려고 시도하며, 즉각적인 터미널 세션에서 실행을 숨기고 지속성 및 리버스 셸을 설정하려고 시도합니다.

• 회귀 테스트 스크립트

  <?php
  /**
   * PSK Agent RAT 배포 시뮬레이션
   * 이 스크립트는 CVE-2026-75650의 악용을 모방합니다.
   */
  
  // 대상 명령: nohup을 사용한 백그라운드 프로세스
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // 탐지 규칙의 대상 함수 'shell_exec' 사용
  echo "배포 시도 중...n";
  $output = shell_exec($cmd);
  
  echo "명령 실행됨. 로그에서 탐지를 확인하십시오.n";
  ?>

• 정리 명령

  # 시뮬레이션한 악성 페이로드 및 테스트 PHP 스크립트 제거
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # 실제로 생성되었다면 남아 있는 백그라운드 프로세스를 종료
  pkill -f psk_agent_payload