Ataques do StyleSmuggler Desencadeiam Agente RAT PSK Contra Lojas Magento

Resumo

Uma campanha coordenada está visando lojas Magento e Adobe Commerce explorando a vulnerabilidade StyleSmuggler (CVE-2026-75650). Os atacantes utilizam uma cadeia de payload em múltiplos estágios que inclui um dropper em shell-script, o PSK Agent RAT baseado em Go e webshells em PHP. A atividade parece altamente automatizada e focada em ambientes de e-commerce com acesso à internet.

Investigação

A Imperva identificou cinco grupos de ataque originários de um conjunto limitado de endereços IP de origem e direcionados ao /paypal/transparent/response/ endpoint. A análise descobriu um dropper chamado psk_agent.sh que faz o download de um binário Go (chi_down) e um webshell em PHP (zer4.php). Comentários em língua chinesa encontrados no script sugerem um operador falante de chinês.

Mitigação

As organizações devem aplicar o hotfix VULN-39341 da Adobe para remediar a vulnerabilidade StyleSmuggler. É importante notar que o simples patch não remove mecanismos de persistência existentes como RATs ou webshells. É também fortemente recomendado revisar diretórios graváveis e executáveis, incluindo pastas de mídia pública, para arquivos não autorizados.

Resposta

Quando uma atividade maliciosa é detectada, as organizações devem tratar os sistemas afetados como totalmente comprometidos e iniciar procedimentos completos de resposta a incidentes. Isso inclui a rotação de chaves de criptografia Magento, credenciais de banco de dados, credenciais de administrador e chaves SSH. As equipes de segurança também devem caçar processos não autorizados que se disfarçam de serviços de sistema legítimos e bloquear a infraestrutura de campanha identificada.

Execução de Simulação

• Narrativa & Comandos de Ataque: O atacante explora uma vulnerabilidade em uma extensão do Magento para obter execução remota de código. Para garantir que o PSK Agent RAT sobreviva a uma reinicialização do servidor ou ao término da sessão, o atacante injeta um payload PHP que utiliza a função shell_exec . O payload tenta especificamente executar um processo em segundo plano usando nohup para ocultar a execução da sessão de terminal imediata, efetivamente tentando estabelecer persistência e um shell reverso.

• Script de Teste de Regressão:

  <?php
  /**
   * Simulação de Implantação do PSK Agent RAT
   * Este script simula a exploração do CVE-2026-75650
   */
  
  // O comando alvo: um processo em segundo plano usando nohup
  $cmd = "nohup /tmp/psk_agent_payload > /dev/null 2>&1 &";
  
  // Usando a função específica 'shell_exec' direcionada pela regra de detecção
  echo "Tentando implantação...n";
  $output = shell_exec($cmd);
  
  echo "Comando executado. Verifique logs para detecção.n";
  ?>

• Comandos de Limpeza:

  # Remova o payload malicioso simulado e o script PHP de teste
  rm -f /tmp/psk_agent_payload
  rm -f /var/www/html/simulate_attack.php
  # Termine quaisquer processos em segundo plano restantes se eles realmente foram criados
  pkill -f psk_agent_payload