Thought Leadership
Eine als StyleSmuggler bezeichnete Zero-Day-Schwachstelle in sämtlichen Versionen von Magento sowie Adobe Commerce wird bereits aktiv für Angriffe ausgenutzt.
Der erste dokumentierte Ausnutzungsversuch wurde laut dem E-Commerce-Sicherheitsunternehmen Sansec am 4. September bei einem Ziel festgestellt, das bereits über die aktuellsten verfügbaren Sicherheitsupdates verfügte.
Magento ist eine populäre, quelloffene E-Commerce-Plattform von Adobe, die auf mehr als 160.000 Websites installiert ist, darunter 14.000 der weltweit eine Million meistbesuchten Seiten. Der von Sansec in freier Wildbahn beobachtete Exploit missbraucht dabei das Template-System von Magento über eine eingeschleuste PHP-Codezeile, um eine gefälschte E-Mail mit der Betreffzeile „fehlgeschlagene Zahlung“ zu erzeugen, wodurch die eigentliche Codeausführung ausgelöst wird.
Bei erfolgreicher Ausnutzung installiert der Angriff eine kleine, in der Programmiersprache Rust geschriebene Hintertür als Hintergrundprozess, getarnt als [kworker/u:8:0]. Neuere Versionen tarnen den Prozess stattdessen als fc-cache und kopieren sich zusätzlich in das Verzeichnis ~/.cache/fontconfig/fc-cache. Für dauerhaften Zugriff richtet der Angreifer zusätzlich einen alle 30 Minuten wiederkehrenden geplanten Task ein. Sansec beobachtete zwar keine tatsächliche Folgeaktivität, die Schadsoftware kann jedoch grundsätzlich mit einer entfernten Infrastruktur kommunizieren und Befehle empfangen.
Verschleierung als Zeitsynchronisationsverkehr
Ältere Proben der Hintertür kommunizierten laut den Sansec-Forschern über TLS und WebSockets mit dem Kontrollserver, neuere Versionen tarnen den eigenen Datenverkehr dagegen als Network Time Protocol, indem sie UDP-Pakete an Port 123 senden und dabei Hostnamen verwenden, die typischer Zeitsynchronisations-Infrastruktur ähneln, wodurch sich der schädliche Datenverkehr leichter durch Firewalls schleusen lässt. Zusätzlich ermittelt die Schadsoftware über Dienste wie ipify, icanhazip, ident.me und ipinfo.io die öffentliche IP-Adresse des betroffenen Servers und prüft den Linux-Wert TracerPid, um eine mögliche Analyseumgebung zu erkennen. Wird eine solche Überwachung festgestellt, installiert sich die Schadsoftware zwar weiterhin, meldet sich jedoch nicht beim Kontrollserver.
Sansec zufolge kann ein ungewöhnlicher Anstieg an Magento-E-Mails mit der Betreffzeile zu fehlgeschlagenen Zahlungserinnerungen auf eine erfolgte Ausnutzung hindeuten. Das Unternehmen empfiehlt zudem, gezielt nach Prozessen mit den Namen kworker oder fc-cache, verdächtigen Einträgen im geplanten Task-System sowie temporären Dateien zu suchen. Besteht der Verdacht einer Kompromittierung, sollten sämtliche Magento-Zugangsdaten ausgetauscht werden.
Adobe arbeitet an Patch, kein Termin genannt
Adobe Enterprise Support bestätigte laut Sansec bereits, an einer Behebung zu arbeiten, nannte für die Veröffentlichung jedoch noch keinen konkreten Zeitpunkt. Zum Zeitpunkt der Berichterstattung hatte Adobe noch keinen Patch für StyleSmuggler veröffentlicht, der nächste planmäßige Sicherheitsveröffentlichung des Unternehmens war für den folgenden Tag angesetzt. Bis ein offizieller Fix verfügbar ist, empfiehlt Sansec als vorübergehende Gegenmaßnahme, die GraphQL-Schnittstelle auf betroffenen Systemen zu deaktivieren.
(red)
