Атаки StyleSmuggler використовують PSK Agent RAT проти магазинів Magento

Резюме

Координована кампанія націлена на магазини Magento та Adobe Commerce, використовуючи вразливість StyleSmuggler (CVE-2026-75650). Атакуючі розгортають багатоступінчастий ланцюг корисного навантаження, що включає скрипт для встановлення шелу, PSK Agent RAT на базі Go і вебшел PHP. Діяльність здається високо автоматизованою і зосереджена на інтернет-орієнтованих середовищах електронної комерції.

Розслідування

Imperva ідентифікувала п’ять кластерів атаки, що походять з обмеженого набору IP-адрес джерела та націлені на /paypal/transparent/response/ кінцеву точку. Аналіз виявив скрипт для встановлення, названий psk_agent.sh який завантажує двійковий файл Go (chi_down) і PHP вебшел (zer4.php). Виявлені в скрипті коментарі китайською мовою припускають, що оператором є той, хто говорить китайською.

Пом’якшення

Організації повинні застосувати виправлення VULN-39341 від Adobe для усунення вразливості StyleSmuggler. Важно зазначити, що просте виправлення не усуває наявні механізми збереження, такі як RAT чи вебшели. Також настійно рекомендується перевірити на наявність неавторизованих файлів записувані та виконувані директорії, включаючи публічні медіа-папки.

Відповідь

Коли виявляється зловмисна діяльність, організації повинні розглядати уражені системи як повністю скомпрометовані та розпочати повну процедуру реагування на інцидент. Це включає ротацію ключів шифрування Magento, облікові дані бази даних, облікові дані адміністратора та ключі SSH. Команди з безпеки також повинні шукати неавторизовані процеси, що маскуються під законні системні служби, і блокувати ідентифіковану інфраструктуру кампанії.

Виконання симуляції

• Наратив атаки та команди: Атакуючий використовує вразливість у розширенні Magento, щоб отримати віддалене виконання коду. Щоб PSK Agent RAT пережив перезавантаження сервера або завершення сесії, атакуючий вводить PHP-пейлоад, який використовує функцію shell_exec . Пейлоад спеціально намагається запустити фоновий процес з використанням nohup , щоб приховати виконання від негайної сесії терміналу, ефективно намагаючись встановити збереження та зворотній шел.

• Скрипт регресійного тесту:

  <?php
  /**
   * Симуляція розгортання PSK Agent RAT
   * Цей скрипт імітує експлуатацію CVE-2026-75650
   */
  
  // Цільова команда: фоновий процес з використанням nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Використання конкретної функції 'shell_exec', на яку націлене правило виявлення
  echo "Спроба розгортання...n";
  $output = shell_exec($cmd);
  
  echo "Команда виконана. Перевірте логи для виявлення.n";
  ?>

• Команди очищення:

  # Видалення змодельованого зловмисного пейлоаду та тестового PHP-скрипту
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Видалення залишкових фонових процесів, якщо вони були фактично створені
  pkill -f psk_agent_payload