Attacchi StyleSmuggler Distribuiscono PSK Agent RAT Contro i Negozi Magento

Riassunto

Una campagna coordinata sta prendendo di mira negozi Magento e Adobe Commerce sfruttando la vulnerabilità StyleSmuggler (CVE-2026-75650). Gli aggressori distribuiscono una catena di payload a più stadi che comprende un dropper shell-script, il RAT PSK Agent sviluppato in Go, e webshell PHP. L’attività appare altamente automatizzata e si concentra sugli ambienti e-commerce esposti su internet.

Investigazione

Imperva ha identificato cinque cluster di attacco originati da un numero limitato di indirizzi IP sorgente e che prendono di mira l’endpoint /paypal/transparent/response/ . L’analisi ha rivelato un dropper chiamato psk_agent.sh che scarica un binario Go (chi_down) e una webshell PHP (zer4.php). Commenti in lingua cinese trovati nello script suggeriscono un operatore di lingua cinese.

Mitigazione

Le organizzazioni dovrebbero applicare l’hotfix VULN-39341 di Adobe per correggere la vulnerabilità StyleSmuggler. È importante notare che la sola applicazione delle patch non elimina i meccanismi di persistenza esistenti come i RAT o le webshell. È fortemente raccomandato anche esaminare directory scrivibili ed eseguibili, comprese le cartelle di media pubbliche, per file non autorizzati.

Risposta

Quando viene rilevata attività malevola, le organizzazioni dovrebbero trattare i sistemi interessati come completamente compromessi e avviare procedure complete di risposta agli incidenti. Questo include la rotazione delle chiavi di crittografia di Magento, delle credenziali del database, delle credenziali amministrative e delle chiavi SSH. I team di sicurezza dovrebbero anche cercare processi non autorizzati che si mascherano da servizi di sistema legittimi e bloccare l’infrastruttura della campagna identificata.

Esecuzione simulazione

• Narrazione & Comandi d’attacco: L’aggressore sfrutta una vulnerabilità in un’estensione Magento per ottenere l’esecuzione remota di codice. Per assicurarsi che il RAT PSK Agent sopravviva a un riavvio del server o alla terminazione della sessione, l’aggressore inietta un payload PHP che utilizza la funzione shell_exec . Il payload tenta specificamente di eseguire un processo in background usando nohup per nascondere l’esecuzione dalla sessione del terminale immediata, cercando di stabilire la persistenza e una shell inversa.

• Script di test di regressione:

  <?php
  /**
   * Simulazione distribuzione PSK Agent RAT
   * Questo script simula lo sfruttamento di CVE-2026-75650
   */
  
  // Il comando di destinazione: un processo in background usando nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Utilizzando la funzione specifica 'shell_exec' mirata dalla regola di rilevamento
  echo "Tentativo di distribuzione...n";
  $output = shell_exec($cmd);
  
  echo "Comando eseguito. Controlla i log per il rilevamento.n";
  ?>

• Comandi di ripulitura:

  # Rimuovere il payload malevolo simulato e lo script PHP di test
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Uccidere eventuali processi in background rimanenti, se effettivamente creati
  pkill -f psk_agent_payload