[ Início ]

Uma nova campanha de exploração ativa está atingindo lojas virtuais baseadas em Magento Open Source e Adobe Commerce. Batizada de StyleSmuggler, a vulnerabilidade permite que um atacante não autenticado execute código remotamente no servidor da aplicação e instale uma backdoor persistente em ambientes Linux.

O problema é especialmente grave porque a exploração foi observada em instalações que já estavam atualizadas com os patches de segurança disponíveis. Segundo a Sansec, os primeiros ataques foram identificados em 4 de setembro, enquanto a análise pública foi divulgada no dia seguinte. A empresa confirmou a reprodução da cadeia de exploração nas versões 2.4.7, 2.4.8 e 2.4.9 do Magento Open Source.

Até o momento da publicação deste artigo, a Adobe ainda não havia disponibilizado uma correção oficial, atribuído um identificador CVE ou informado uma data definitiva para o patch. A empresa confirmou apenas que estava trabalhando em uma correção. A próxima janela de atualizações de segurança estava prevista para 8 de setembro, mas ainda não havia confirmação de que ela incluiria o StyleSmuggler.

Como funciona a vulnerabilidade?

O StyleSmuggler é uma vulnerabilidade de execução remota de código (RCE), que explora o processamento de propriedades styles no sistema de templates do Magento.

A cadeia observada é composta por duas etapas principais:

• O atacante injeta código PHP malicioso em uma requisição não autenticada.

• O Magento grava esse conteúdo em um arquivo interno e, posteriormente, interpreta o arquivo como código PHP durante o processamento de uma mensagem de falha de pagamento.

Em uma das cadeias descritas pelos pesquisadores, o atacante manipula o processamento de relatórios de falha e, em seguida, força o Magento a renderizar o template “Payment Transaction Failed Reminder”. A execução acontece no servidor enquanto o template é processado, portanto, não é necessário que o e-mail seja entregue ou aberto pelo destinatário.

Essa característica dificulta a investigação baseada apenas em caixas de entrada ou registros do servidor de e-mail. O evento importante pode ocorrer durante a geração ou tentativa de envio da mensagem, mesmo quando a entrega falha.

O Backdoor

Após a execução do código PHP, os operadores observados implantam um pequeno binário escrito em Rust. O programa é executado em segundo plano e tenta se passar por processos legítimos do Linux.

Nas primeiras amostras, o processo utilizava o nome [kworker/u:8:0], em versões posteriores, os operadores passaram a utilizar nomes mais comuns em servidores Linux, como fc-cache chronyd ,o binário também pode ser copiado para caminhos que parecem relacionados ao cache de fontes ou a componentes de sincronização de horário:

~/.cache/fontconfig/fc-cache
~/.local/share/.gvfsd/gvfsd-user
/tmp/.fc-<identificador>/fc-cache
/tmp/.chrony-<identificador>/chronyd

A persistência é obtida por meio de tarefas agendadas no cron.

Entretanto, a ausência de uma entrada suspeita em crontab -l não é suficiente para declarar o host limpo. A investigação também deve verificar diretamente os arquivos de spool do cron, mecanismos de inicialização e processos que possam ter sido relançados pelo PID 1.

A própria campanha demonstrou evolução operacional. Uma variante mais recente deixou de usar o nome fc-cache e passou a utilizar chronyd, o nome normalmente associado ao daemon de sincronização de tempo em distribuições Linux. Essa mudança pode reduzir a eficácia de regras de detecção que procuram apenas por nomes óbvios, como kworker ou fc-cache.

Conclusão

O StyleSmuggler representa um cenário de alto risco para operadores de Magento e Adobe Commerce: uma vulnerabilidade não autenticada, explorada ativamente, capaz de transformar uma falha aparentemente ligada ao processamento de templates em acesso persistente ao servidor Linux.

O aspecto mais relevante para analistas de cibersegurança é que a campanha não termina com a execução inicial do PHP. Os operadores implantam backdoors que tentam se esconder como processos legítimos, utilizam mecanismos comuns de persistência e disfarçam o comando e controle.

Referências:

• [1] – Magento StyleSmuggler zero-day exploited to deploy Linux backdoor
• [2] – StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack
• [3] – StyleSmuggler fix: patch the Magento and Adobe Commerce RCE