Хакери експлоатират уязвимост от тип нулев ден в Adobe Commerce, за да внедрят PSK Agent RAT и да контролират сървъри дистанционно

Атакуващи злоупотребяват със сериозна уязвимост в Adobe Commerce и Magento, за да инсталират скрит инструмент за отдалечен достъп, наречен PSK Agent, върху сървъри на онлайн магазини.

След като бъде стартиран, те могат да изпълняват команди, да пренасочват трафик през сървъра и да запазват достъпа си дори след рестартиране. Уязвимостта, наречена StyleSmuggler и проследявана като CVE-2026-75650, беше разкрита за първи път като уязвимост от тип нулев ден в началото на септември.

От Sansec заявиха, че тя позволява на всеки да изпълнява код в онлайн магазин без удостоверяване и засяга всяка текуща версия, включително 2.4.9. В рамките на дни повече от една група я използваше за внедряване на различен зловреден софтуер.

Изследователи от Imperva отбелязаха активността на PSK Agent след проследяване на координирана кампания между 9 септември и 13 септември 2026 г.

Те са наблюдавали атаки срещу магазини в Западна Европа, Северна Америка и Азиатско-тихоокеанския регион. Зловредният софтуер е имал 0% разпознаваемост във VirusTotal по време на анализа, така че базовото сканиране на файлове вероятно би го пропуснало.

Хакери експлоатират уязвимост от тип нулев ден в Adobe Commerce

Атакуващите са се насочили към една крайна точка, /paypal/transparent/response/, което съвпада с първата стъпка на StyleSmuggler. В тази стъпка атакуващият поставя PHP код в низа на заявката (query string).

След това Magento записва грешката в журнал и записва този код във файл с отчети в директорията var/report/. Втора заявка към /graphql използва контролирани от атакуващия стойности на стилове (styles), за да зареди заразения файл и да изпълни кода.

Imperva проследи пет клъстера от атаки, идващи от малък набор от IP адреси. Почти идентичните варианти на зловредния код сочат към автоматизирани инструменти, които сканират масово за уязвими магазини.

Връзката за изтегляне на първия скрипт, psk_agent.sh, се е появила 96 пъти в 12 варианта на зловредния код, което предполага, че атакуващите са продължили да използват един стабилен път за доставка.

Зловредният PHP код опитва последователно функциите shell_exec, system и exec. Ако някоя от тях е блокирана, той тихо преминава към следващата. След това изпълнява команда curl, която предава скрипта директно към bash, така че първата команда никога не се записва на диска.

Скриптът с размер 3,313 байта търси папка, която има права както за запис, така и за изпълнение, като например /tmp или /dev/shm. След това изтегля следващия етап чрез curl, wget или Python и го стартира във фонов режим.

Този етап е chi_down – силно обфускирана програма на Go с размер 10.5 MB. Тя може да изпълнява shell команди, да събира данни за хоста и да пренасочва трафик чрез прокси през SOCKS5.

Освен това комуникира със своите оператори през HTTP, HTTPS и криптирани канали. Аргументите ѝ за стартиране, -checkagent=false -maintain=true, подсказват, че е предназначена да се запазва след рестартиране.

DNS маяци, уеб шелове и признаци за китайскоговорящ оператор

Някои варианти на зловредния код също така са уведомявали атакуващите, когато атаката е била успешна. Кодът е поставял името на хоста на жертвата в уникален поддомейн под 0f851bdc9d.ddns.1433.eu.org и след това е правил както HTTP, така и DNS заявка.

Атакуващите са контролирали DNS сървърите, така че самото запитване е доказвало успеха, дори ако уеб заявката се е провалила. Това им е осигурило тих, актуален списък с компрометирани сървъри.

В някои случаи операторите са добавяли и втори начин за повторен достъп. Те са изтегляли t4.php и са го запазвали като zer4.php в публични папки като pub/media/.

Този файлов мениджър от 910 реда и подобни на него PHP уеб шелове позволяват на атакуващите да редактират файлове, да качват или изтеглят данни и да изпълняват системни команди. Той използва Foreign Function Interface на PHP, за да извиква директно libc, което може да работи дори когато обичайните PHP функции са изключени.

Същият вграден в кода AES-256-CBC ключ се появява във всяка проба, което насочва към един оператор или споделен инструментариум. Imperva откри коментари на китайски език в скрипта, с имена като chinow и chi_down в инфраструктурата.

Изследователите оценяват като вероятно наличието на китайскоговорящ оператор, със средна степен на увереност. Те предупреждават, че езиковите улики могат да бъдат подхвърлени или копирани, и не назовават конкретна група.

Те също така подчертават, че това се отнася само за PSK Agent, тъй като други атакуващи са използвали същата уязвимост, за да внедрят Rust задна вратичка (backdoor) и различни PHP дропъри.

Собствениците на магазини трябва да приложат спешната корекция за сигурност VULN-39341 на Adobe. Това обаче само затваря входната точка. То не премахва троянски кон за отдалечен достъп (RAT), уеб шел или откраднати идентификационни данни, които са били внедрени по-рано.

Сървър с някой от тези признаци трябва да се третира като напълно компрометиран. Проверете за psk_agent.sh, chi_down, zer4.php и фалшиви имена на процеси като kworker, fc-cache и chronyd.

Сменете ключа за криптиране на Magento, данните за вход в базата данни, администраторските пароли, API токените и SSH ключовете. Следете за DNS заявки към домейна на маяка и за уеб сървъри, които осъществяват неочаквани изходящи връзки.

Zscaler също забеляза част от същата инфраструктура за изтегляне при атаки срещу Citrix NetScaler, но това припокриване е само следа и не доказва, че един и същ злонамерен субект стои зад двете кампании.

Магазините на Magento отдавна са любима мишена. Минала кампания показа колко бързо могат да се разпространят нещата, когато уязвимостта CosmicSting засегна хиляди магазини.

Бързото инсталиране на корекции за сигурност и проверката за по-ранно компрометиране остават най-добрата защита. Пълният технически анализ е достъпен в изследователския блог на Imperva.

Индикатори за компрометиране (IoCs):-

Файлови хешове

Мрежови индикатори

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или превръщането им в активни връзки. Възстановявайте ги във функционален вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.