Attaques de StyleSmuggler : déploiement du RAT PSK Agent contre les boutiques Magento

Résumé

Une campagne coordonnée cible les boutiques Magento et Adobe Commerce en exploitant la vulnérabilité StyleSmuggler (CVE-2026-75650). Les attaquants déploient une chaîne de charge utile à plusieurs étapes qui inclut un script shell, le RAT PSK Agent basé sur Go, et des webshells PHP. L’activité semble hautement automatisée et se concentre sur les environnements e-commerce exposés à Internet.

Enquête

Imperva a identifié cinq clusters d’attaque provenant d’un nombre limité d’adresses IP sources et ciblant l’ /paypal/transparent/response/ point de terminaison. L’analyse a révélé un programme de téléchargement nommé psk_agent.sh qui télécharge un binaire Go (chi_down) et un webshell PHP (zer4.php). Des commentaires en chinois trouvés dans le script suggèrent un opérateur sinophone.

Atténuation

Les organisations doivent appliquer le correctif VULN-39341 d’Adobe pour corriger la vulnérabilité StyleSmuggler. Il est important de noter que le simple correctif ne supprime pas les mécanismes de persistance existants comme les RAT ou les webshells. Il est également fortement recommandé de vérifier les répertoires écriturables et exécutables, y compris les dossiers médias publics, pour des fichiers non autorisés.

Réponse

Lorsque des activités malveillantes sont détectées, les organisations doivent traiter les systèmes affectés comme entièrement compromis et initier des procédures complètes de réponse aux incidents. Cela inclut la rotation des clés de chiffrement Magento, des identifiants de base de données, des identifiants administrateur et des clés SSH. Les équipes de sécurité doivent également chercher des processus non autorisés se faisant passer pour des services système légitimes et bloquer l’infrastructure de campagne identifiée.

Exécution de simulation

• Narration de l’attaque & Commandes : L’attaquant exploite une vulnérabilité dans une extension Magento pour obtenir l’exécution de code à distance. Pour s’assurer que le PSK Agent RAT survit à un redémarrage du serveur ou à une terminaison de session, l’attaquant injecte une charge utile PHP qui utilise la fonction shell_exec . La charge utile tente spécifiquement d’exécuter un processus en arrière-plan en utilisant nohup pour masquer l’exécution de la session du terminal immédiate, cherchant à établir une persistance et un shell inversé.

• Script de test de régression :

  <?php
  /**
   * Simulation de déploiement du PSK Agent RAT
   * Ce script imite l'exploitation de CVE-2026-75650
   */
  
  // La commande cible : un processus en arrière-plan utilisant nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Utilisation de la fonction spécifique 'shell_exec' ciblée par la règle de détection
  echo "Tentative de déploiement...n";
  $output = shell_exec($cmd);
  
  echo "Commande exécutée. Vérifiez les journaux pour la détection.n";
  ?>

• Commandes de nettoyage :

  # Supprimer la charge utile malveillante simulée et le script PHP de test
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Tuer tout processus en arrière-plan restant s'ils ont réellement été créés
  pkill -f psk_agent_payload