Magento StyleSmuggler 零日漏洞被利用以部署 Linux 后门

一个名为 "StyleSmuggler" 的零日漏洞影响所有版本的 Magento 和 Adobe Commerce，正被在攻击中利用以部署后门。

首次利用事件于 9 月 4 日在一个运行最新安全更新的目标上被记录。

电子商务安全公司 Sansec 表示，Adobe Enterprise Support 今天早些时候确认其正在开发修复程序，但未提供发布时间表。

Magento 是 Adobe 旗下流行的开源电子商务平台，安装在超过 16 万个网站上，其中包括前 100 万个网站中的 14,000 个。

Linux 后门

Sansec 在野外观察到的该漏洞利用滥用了 Magento 的模板系统，通过 PHP 代码注入生成一封虚假的"付款失败"邮件，从而触发代码执行。

成功利用后，会安装一个基于 Rust 的小型后门作为后台进程运行，伪装成 [kworker/u:8:0]。较新版本将进程伪装为 fc-cache，并将其复制到 ~/.cache/fontconfig/fc-cache。

据 Sansec 研究人员称，攻击者还添加了一个计划任务，配置为每 30 分钟重复一次以实现持久化。

尽管 Sansec 未观察到任何后续活动，但该恶意软件可以与远程基础设施通信并接收命令。

研究人员指出，该后门的早期样本使用 TLS/WebSockets 与命令与控制 (C2) 地址通信，而较新版本则将其流量伪装为网络时间协议 (NTP)。

它们向端口 123 发送 UDP 数据包，并使用类似时间同步基础设施的主机名，这有助于将恶意流量伪装成 NTP 以穿透防火墙。

该恶意软件还使用包括 ipify、icanhazip、ident.me 和 ipinfo.io 在内的服务来确定服务器的公网 IP，并检查 Linux 的 TracerPid 值以检测跟踪。如果检测到跟踪处于活动状态，恶意软件仍会安装，但不会发送信标。

Sansec 表示，Magento "Payment Transaction Failed Reminder" 邮件的意外激增可能表明存在漏洞利用，并建议监控 'kworker' 或 'fc-cache' 进程、可疑的计划任务条目和临时文件。

如果怀疑遭到入侵，建议轮换 Magento 凭据。

截至撰写本文时，Adobe 尚未发布针对 StyleSmuggler 的修复程序，但该公司计划中的下一次安全发布是明天，即 9 月 8 日。

在修复程序可用之前，Sansec 建议网站管理员禁用 GraphQL 作为缓解措施。

BleepingComputer 已联系 Adobe，询问是否计划在明天推出针对 StyleSmuggler 的修复程序，但该公司尚未回应。