StyleSmugglerはPSK Agent RATを利用してMagentoストアを攻撃

要約

MagentoとAdobe Commerceストアを対象に、StyleSmuggler脆弱性（CVE-2026-75650）を悪用した統一的なキャンペーンが進行中です。攻撃者は、シェルスクリプトドロッパー、GoベースのPSK Agent RAT、PHPウェブシェルを含む多段階のペイロードチェーンを展開しています。この活動は高度に自動化されており、インターネットに接続されたeコマース環境をターゲットにしています。

調査

Impervaは、限定されたソースIPアドレスから発信され、 /paypal/transparent/response/ エンドポイントを対象にした5つの攻撃クラスターを特定しました。分析により、 psk_agent.sh というドロッパーが発見されました。これはGoバイナリ（chi_down）とPHPウェブシェル（zer4.php）をダウンロードします。スクリプト内に見つかった中国語のコメントから、中国語を話すオペレーターが関与していることが示唆されます。

緩和策

組織はStyleSmuggler脆弱性を修正するために、AdobeのVULN-39341ホットフィックスを適用する必要があります。パッチを当てるだけでは、RATやウェブシェルなどの既存の永続化メカニズムを除去できないことに注意してください。書き込み可能および実行可能ディレクトリを、公開メディアフォルダーを含めて、無許可のファイルがあるかどうかを確認することも強く推奨されます。

対応策

悪意のある活動が検出された場合、組織は感染したシステムを完全に侵害されたものとみなし、完全なインシデントレスポンス手続きを開始する必要があります。これには、Magentoの暗号化キー、データベース認証情報、管理者認証情報、およびSSHキーの回転が含まれます。セキュリティチームはまた、正当なシステムサービスとして偽装している無許可のプロセスを探し、特定されたキャンペーンインフラをブロックする必要があります。

シミュレーションの実行

• 攻撃の物語とコマンド: 攻撃者はMagentoエクステンションの脆弱性を悪用してリモートコード実行を得ます。PSK Agent RATがサーバ再起動やセッション終了後も存続するようにするため、攻撃者は shell_exec 関数を使用するPHPペイロードを注入します。ペイロードは具体的に nohup を使用してバックグラウンドプロセスを実行し、即時のターミナルセッションからの実行を隠し、永続性とリバースシェルの確立を図ろうとします。

• 回帰テストスクリプト:

  <?php
  /**
   * PSK Agent RATのデプロイシミュレーション
   * このスクリプトはCVE-2026-75650のエクスプロイトを模倣します
   */
  
  // ターゲットコマンド: nohupを使用するバックグラウンドプロセス
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // 検出ルールがターゲットにしている特定の関数 'shell_exec' を使用
  echo "デプロイを試みています...n";
  $output = shell_exec($cmd);
  
  echo "コマンドが実行されました。検出のためのログを確認してください。n";
  ?>

• クリーンアップコマンド:

  # シミュレートされた悪意のあるペイロードとテストPHPスクリプトを削除
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # 実際に作成された残りのバックグラウンドプロセスがある場合はそれらを停止
  pkill -f psk_agent_payload