StyleSmuggler-Angriffe setzen PSK Agent RAT gegen Magento-Shops ein

Zusammenfassung

Eine koordinierte Kampagne zielt auf Magento- und Adobe-Commerce-Stores ab, indem die StyleSmuggler-Sicherheitslücke (CVE-2026-75650) ausgenutzt wird. Angreifer setzen eine mehrstufige Payload-Kette ein, die einen Shell-Skript-Dropper, den Go-basierten PSK Agent RAT und PHP-Webshells umfasst. Die Aktivität scheint hochautomatisiert zu sein und konzentriert sich auf internetbasierte E-Commerce-Umgebungen.

Untersuchung

Imperva identifizierte fünf Angriffscluster, die von einer begrenzten Anzahl von Quell-IP-Adressen ausgehen und auf den /paypal/transparent/response/ Endpunkt abzielen. Eine Analyse enthüllte einen Dropper namens psk_agent.sh , der ein Go-Binary (chi_down) und eine PHP-Webshell (zer4.php) herunterlädt. Chinesischsprachige Kommentare im Skript deuten auf einen chinesischsprachigen Betreiber hin.

Minderung

Organisationen sollten den Hotfix VULN-39341 von Adobe anwenden, um die StyleSmuggler-Sicherheitslücke zu beheben. Es ist wichtig zu beachten, dass allein das Patchen bestehende Persistenzmechanismen wie RATs oder Webshells nicht entfernt. Es wird auch dringend empfohlen, beschreib- und ausführbare Verzeichnisse, einschließlich öffentlicher Medienordner, auf unautorisierte Dateien zu überprüfen.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, sollten Organisationen die betroffenen Systeme als vollständig kompromittiert behandeln und vollständige Vorfallreaktionsprozeduren einleiten. Dazu gehört das Rotieren von Magento-Verschlüsselungsschlüsseln, Datenbankanmeldeinformationen, Administratoranmeldeinformationen und SSH-Schlüsseln. Sicherheitsteams sollten auch nach unautorisierten Prozessen suchen, die sich als legitime Systemdienste tarnen, und identifizierte Kampagneninfrastrukturen blockieren.

Simulationsausführung

• Angriffserzählung & Befehle: Der Angreifer nutzt eine Sicherheitslücke in einer Magento-Erweiterung aus, um Remote-Code-Ausführung zu erlangen. Um sicherzustellen, dass der PSK Agent RAT einen Serverneustart oder eine Sitzungsbeendigung überlebt, injiziert der Angreifer eine PHP-Payload, die die shell_exec -Funktion verwendet. Die Payload versucht speziell, einen Hintergrundprozess mit nohup auszuführen, um die Ausführung vor der unmittelbaren Terminalsitzung zu verbergen, und damit effektiv Persistenz und eine Reverse-Shell zu etablieren.

• Regressions-Testskript:

  <?php
  /**
   * PSK Agent RAT-Implementierungssimulation
   * Dieses Skript imitiert die Ausnutzung von CVE-2026-75650
   */
  
  // Der Zielbefehl: ein Hintergrundprozess unter Verwendung von nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Verwendung der spezifischen Funktion 'shell_exec', die durch die Erkennungsregel ins Visier genommen wird
  echo "Versuch der Bereitstellung...n";
  $output = shell_exec($cmd);
  
  echo "Befehl ausgeführt. Überprüfen Sie Logdateien auf Erkennung.n";
  ?>

• Bereinigungskommandos:

  # Entfernen Sie die simulierte bösartige Nutzlast und das Test-PHP-Skript
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Beenden Sie verbleibende Hintergrundprozesse, falls sie tatsächlich erstellt wurden
  pkill -f psk_agent_payload