Ataki StyleSmuggler wdrażają PSK Agent RAT przeciwko sklepom Magento

Podsumowanie

Skoordynowana kampania atakuje sklepy Magento i Adobe Commerce, wykorzystując podatność StyleSmuggler (CVE-2026-75650). Atakujący wdrażają łańcuch ładunków wieloetapowych, który obejmuje shell-script dropper, zdalnego trojana PSK Agent opartego na Go, oraz webshell PHP. Działania wydają się wysoce zautomatyzowane i koncentrują się na środowiskach e-commerce wystawionych na Internet.

Śledztwo

Imperva zidentyfikowała pięć klastrów ataków pochodzących z ograniczonej liczby adresów IP i celujących w /paypal/transparent/response/ punkt końcowy. Analiza odkryła dropper nazwany psk_agent.sh który pobiera binarny plik Go (chi_down) i webshell PHP (zer4.php). Komentarze w języku chińskim znalezione w skrypcie sugerują operatora mówiącego po chińsku.

Środki zapobiegawcze

Organizacje powinny zastosować hotfix Adobe VULN-39341, aby załatać podatność StyleSmuggler. Ważne jest, aby pamiętać, że samo łatanie nie usuwa istniejących mechanizmów utrwalania takich jak RAT-y czy webshell-e. Zaleca się również przeglądanie katalogów danych zapisywalnych i wykonywalnych, w tym publicznych folderów multimediów, w poszukiwaniu nieautoryzowanych plików.

Reakcja

Gdy wykryta zostanie złośliwa aktywność, organizacje powinny traktować zaatakowane systemy jako całkowicie skompromitowane i rozpocząć pełne procedury reagowania na incydenty. Obejmuje to rotację kluczy szyfrujących Magento, danych dostępowych do baz danych, danych administratora i kluczy SSH. Zespoły bezpieczeństwa powinny również poszukiwać nieautoryzowanych procesów podszywających się pod legalne usługi systemowe i blokować zidentyfikowaną infrastrukturę kampanii.

Wykonanie Symulacji

• Narracja Ataku i Komendy: Atakujący wykorzystuje podatność w rozszerzeniu Magento, aby uzyskać zdalne wykonanie kodu. Aby zapewnić, że PSK Agent RAT przetrwa ponowne uruchomienie serwera lub zakończenie sesji, atakujący wstrzykuje ładunek PHP, który wykorzystuje funkcję shell_exec . Ładunek próbuje uruchomić proces w tle za pomocą nohup , aby ukryć wykonanie przed bieżącą sesją terminala, skutecznie próbując ustanowić trwałość i odwróconą powłokę.

• Skrypt Testu Regresji:

  <?php
  /**
   * Symulacja Wdrażania PSK Agent RAT
   * Ten skrypt imituje wykorzystanie CVE-2026-75650
   */
  
  // Docelowe polecenie: proces w tle za pomocą nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Użycie konkretnej funkcji 'shell_exec' celowanej przez regułę wykrywania
  echo "Próba wdrożenia...n";
  $output = shell_exec($cmd);
  
  echo "Komenda wykonana. Sprawdź logi dla wykrycia.n";
  ?>

• Polecenia czyszczenia:

  # Usuń symulowany złośliwy ładunek i testowy skrypt PHP
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Zabij wszelkie pozostałe procesy w tle jeżeli zostały faktycznie utworzone
  pkill -f psk_agent_payload