Magentoおよび Adobe Commerceの全バージョンに影響する「StyleSmuggler」と呼ばれるゼロデイ脆弱性が、バックドアを展開する攻撃で悪用されています。
最初の悪用事例は9月4日に、最新のセキュリティアップデートを適用済みのターゲットで確認されました。
ECセキュリティ企業のSansecによると、Adobe Enterprise Supportは本日、修正に取り組んでいることを確認したものの、リリース時期については明らかにしなかったとのことです。
Magentoは、Adobeが提供する人気のオープンソースEコマースプラットフォームで、16万以上のWebサイトに導入されており、そのうちアクセス数上位100万サイトのうち14,000サイトが含まれます。
Linuxバックドア
Sansecが実際の攻撃で観測したエクスプロイトは、MagentoのテンプレートシステムをPHPコードインジェクションによって悪用し、偽の「支払い失敗」メールを生成することでコード実行を引き起こします。
悪用に成功すると、Rustで書かれた小型のバックドアがバックグラウンドプロセスとしてインストールされ、[kworker/u:8:0]に偽装されます。新しいバージョンではプロセスをfc-cacheに偽装し、~/.cache/fontconfig/fc-cacheにコピーします。
Sansecの研究者によると、攻撃者は永続化のために30分ごとに実行されるよう設定されたcronジョブも追加しています。
Sansecは後続の活動は観測していないものの、このマルウェアはリモートインフラと通信し、コマンドを受信できる能力を備えています。
研究者らは、バックドアの初期のサンプルはコマンド&コントロール(C2)アドレスとの通信にTLS/WebSocketsを使用していたのに対し、新しいバージョンではその通信をNetwork Time Protocol(NTP)に偽装していると指摘しています。
ポート123宛てにUDPパケットを送信し、時刻同期用インフラを思わせるホスト名を使用することで、悪意ある通信をNTPに見せかけてファイアウォールを通過させています。
このマルウェアはまた、ipify、icanhazip、ident.me、ipinfo.ioといったサービスを利用してサーバーのパブリックIPを特定し、LinuxのTracerPid値を確認してトレースの有無を検知します。トレースが行われている場合でも、マルウェア自体はインストールされますが、ビーコン通信は行いません。
Sansecによると、Magentoの「Payment Transaction Failed Reminder(支払いトランザクション失敗のリマインダー)」メールが急増している場合は悪用の兆候である可能性があるとのことです。同社はまた、「kworker」や「fc-cache」といったプロセス、不審なcronエントリ、一時ファイルの監視も推奨しています。
侵害の疑いがある場合は、Magentoの認証情報をローテーションすることが推奨されます。
本稿執筆時点で、AdobeはStyleSmugglerに対する修正をまだリリースしていませんが、同社の次回のセキュリティリリース予定日は明日、9月8日です。
修正プログラムが提供されるまでの間、Sansecは緩和策としてWebサイト管理者にGraphQLを無効化するよう推奨しています。
BleepingComputerはAdobeに対し、StyleSmugglerの修正が明日リリースされる予定かどうか問い合わせましたが、同社からはまだ回答が得られていません。
