Magento StyleSmuggler zero-day exploited to deploy Linux backdoor

Exploitation de la faille zero-day « StyleSmuggler » sur Magento

Une vulnérabilité zero-day, baptisée « StyleSmuggler », affecte actuellement toutes les versions de Magento et Adobe Commerce. Utilisée activement, cette faille permet l’injection de code PHP via le système de modèles de Magento pour déployer une porte dérobée (backdoor) sur les serveurs Linux.

Points clés :

• Mécanisme d’attaque : L’exploitation génère de faux e-mails de « paiement échoué » pour déclencher l’exécution de code à distance.
• Persistance et furtivité : Le malware est une porte dérobée écrite en Rust, dissimulée sous des noms de processus système ([kworker/u:8:0] ou fc-cache) et maintenue via des tâches cron répétées toutes les 30 minutes.
• Communication C2 : Le logiciel malveillant masque ses échanges avec les serveurs de commande en simulant du trafic NTP (Network Time Protocol) sur le port UDP 123 pour contourner les pare-feu.
• Capacités : Le malware vérifie la présence d’outils de traçage (TracerPid) avant de s’activer et peut recevoir des instructions distantes.

Vulnérabilités :

• Identifiant : Aucune CVE n’est encore attribuée à ce jour.
• Cible : Toutes les versions de Magento et Adobe Commerce.

Recommandations :

• Mesure d’atténuation immédiate : Désactiver GraphQL sur les sites Magento en attendant la publication d’un correctif officiel.
• Surveillance : Inspecter les processus (kworker, fc-cache), vérifier les entrées cron suspectes et surveiller l’envoi anormal d’e-mails de notification de transaction.
• Réponse en cas de compromission : Procéder à une rotation complète des identifiants Magento.

Source