Una vulnerabilità critica chiamata StyleSmuggler scuote l’universo dei negozi online basati su Adobe Commerce e Magento. Questa vulnerabilità zero-day consente l’esecuzione di codice da remoto senza autenticazione, aprendo la porta a una backdoor insidiosa su Linux. Scoperta da poco, costringe a una reazione immediata di fronte a un grave rischio di intrusione.
Una vulnerabilità StyleSmuggler che fa tremare Magento e Adobe Commerce
Identificata dalla società di sicurezza Sansec all’inizio di settembre, StyleSmuggler colpisce tutte le versioni di Magento e Adobe Commerce, comprese quelle perfettamente aggiornate. L’attacco sfrutta una debolezza nel loro sistema di template. Attraverso un gioco di iniezione nelle proprietà CSS, gli hacker riescono a far eseguire codice PHP malevolo da remoto e senza alcuna interazione con la vittima.
Questa manipolazione si verifica durante la generazione di un rapporto di errore o di una notifica tramite email transazionale, spesso invisibile per l’utente. Il peggio? Il sistema esegue questo codice senza alcun controllo, spalancando una porta sul server Linux che ospita il negozio.
Come funziona l’exploit StyleSmuggler dietro le quinte?
Semplice ma astuto, l’exploit inietta codice malevolo negli stili CSS utilizzati da Magento. Questo “trucco” elude le protezioni standard che normalmente bloccano il codice dannoso. Ad esempio, la manipolazione crea un rapporto di errore contenente il payload PHP che sarà eseguito successivamente durante l’invio di un’email.
Il processo assomiglia a una meccanica ben oliata: prima, il codice malevolo viene “avvelenato” nel sistema. Poi, Magento lo attiva automaticamente nel momento in cui gestisce le notifiche. Come una caldaia male regolata che si surriscalda senza preavviso, l’attacco si attiva senza intervento esterno.
Una backdoor in Rust abilmente nascosta tra i processi Linux
Una volta sfruttata la vulnerabilità, gli attaccanti déposono una backdoor scritta in Rust, piuttosto rara e astuta per questo tipo di dispositivo. Questa porta nascosta gira in background con nomi di processo convincenti, come [kworker/u:8:0], fc-cache o ancora chronyd. Non salta all’occhio, anzi.
La comunicazione in uscita è altrettanto astuta. Il malware maschera i suoi scambi con il server di comando e controllo come traffico normale NTP (Network Time Protocol). Questo camuffamento rende gravemente difficile la detection da parte di strumenti classici di monitoraggio della rete.
Rischi e conseguenze per i negozi online colpiti
Questa compromissione è molto più di un semplice “attacco informatico”: apre la strada a un accesso completo e persistente al server. Dal furto di dati sensibili alle manipolazioni da remoto, le minacce sono molteplici. In un ambiente in cui circolano pagamenti e informazioni sui clienti, questo tipo di backdoor può causare seri danni.
Curiosamente, nessun comportamento massivo post-compromissione è stato ancora rilevato. Ma la presenza di questa backdoor offre agli attaccanti un leva per future azioni, in attesa della minima opportunità per estendere il loro controllo.
Le misure indispensabili per contenere l’incidente StyleSmuggler
La prima urgenza è applicare senza indugi la patch ufficiale pubblicata da Adobe il 7 settembre. Anche se la vulnerabilità è stata sfruttata prima, la patch è ora la barriera essenziale contro ulteriori intrusioni.
In seguito, è necessario condurre un’analisi approfondita dei sistemi per individuare eventuali infezioni già presenti. La sorveglianza deve essere rinforzata sui processi di sistema sospetti e sulle anomalie nel traffico di rete, in particolare le comunicazioni NTP.
Un buon vecchio consiglio: rotazione delle chiavi e degli identificativi
Adobe raccomanda in particolare di procedere a una rotazione completa delle chiavi di crittografia e delle password degli amministratori. Una volta lasciata aperta la porta, è meglio cambiare la serratura e le chiavi.
È anche cruciale essere vigili di fronte a un aumento anomalo delle email transazionali che segnalano fallimenti di pagamento. Questi segnali possono rivelare un’esposizione in corso e una backdoor ancora attiva sul server.
Per approfondire la comprensione delle vulnerabilità critiche su Linux e i loro impatti, sono disponibili analisi dettagliate su piattaforme specializzate come IT Connect oppure il rapporto di Sansec che dettaglia il meccanismo di questo attacco sul loro sito ufficiale.
Che cos’è la vulnerabilità StyleSmuggler?
StyleSmuggler è una vulnerabilità critica zero-day che colpisce Adobe Commerce e Magento, permettendo l’esecuzione di codice da remoto senza autenticazione.
Come è nascosta la backdoor su Linux?
La backdoor è un programma scritto in Rust che si spaccia per processi di sistema legittimi e maschera le sue comunicazioni facendole passare per traffico NTP.
Quali sono i segni di una compromissione StyleSmuggler?
Un aumento anomalo di email di fallimento di pagamento e la presenza di processi sospetti come [kworker/u:8:0] possono indicare un’infezione.
Cosa fare in caso di esposizione a questa vulnerabilità?
Applicare immediatamente la patch di Adobe, analizzare il server per rilevare un’infezione e poi procedere alla rotazione delle chiavi e delle password degli amministratori.
La vulnerabilità StyleSmuggler colpisce tutte le versioni di Magento?
Sì, tutte le versioni, anche quelle aggiornate, sono colpite da questa vulnerabilità critica.
Fonte: www.generation-nt.com
