مهاجمان با بهره‌برداری از یک نقص امنیتی جدی در Adobe Commerce و Magento، ابزاری برای دسترسی از راه دور (Remote Access Tool) به نام PSK Agent را روی سرورهای فروشگاه‌های آنلاین مستقر می‌کنند.
جزئیات آسیب‌پذیری StyleSmuggler
این نقص امنیتی که با نام StyleSmuggler شناخته شده و با شناسه CVE-2026-75650 ردیابی می‌شود، در اوایل سپتامبر به عنوان یک زیرو دِی (Zero-Day) شناسایی شد. طبق گزارش Sansec، این آسیب‌پذیری به هر شخصی اجازه می‌دهد بدون نیاز به ورود به سیستم (Authentication)، کدهای مخرب را روی فروشگاه اجرا کند. این مشکل تمامی نسخه‌های فعلی، از جمله نسخه 2.4.9 را تحت تأثیر قرار داده است.
تحلیل فنی زنجیره حمله
تحلیلگران Imperva در بررسی کمپین‌های هماهنگ بین ۹ تا ۱۳ سپتامبر ۲۰۲۶، متوجه فعالیت‌های PSK Agent در مناطق اروپای غربی، آمریکای شمالی و آسیا-پاسیفیک شدند. نکته قابل توجه این است که این بدافزار در زمان تحلیل، نرخ شناسایی ۰٪ در VirusTotal داشت که نشان‌دهنده توانایی آن در دور زدن اسکنرهای فایل معمولی است.
مراحل حمله به شرح زیر است:
- مرحله اول: مهاجم کد PHP را در Query String درخواست‌های ارسالی به مسیر
/paypal/transparent/response/قرار می‌دهد. سیستم Magento این خطا را ثبت کرده و کد را در یک فایل گزارش در مسیرvar/report/می‌نویسد. - مرحله دوم: با ارسال درخواستی به مسیر
/graphqlو استفاده از مقادیر Style تحت کنترل مهاجم، فایل آلوده فراخوانی شده و کد PHP اجرا می‌شود.
ویژگی‌های بدافزار PSK Agent
مهاجمان از اسکریپتی به نام psk_agent.sh استفاده می‌کنند که سعی می‌کند توابع shell_exec، system و exec را به ترتیب اجرا کند تا در صورت مسدود بودن یکی، از جایگزین استفاده کند. این اسکریپت سپس یک برنامه Go به نام chi_down (با حجم ۱۰.۵ مگابایت و به شدت Obfuscated) را دانلود می‌کند.
قابلیت‌های chi_down عبارتند از:
- اجرای دستورات Shell و جمع‌آوری اطلاعات میزبان.
- ایجاد تونل برای ترافیک شبکه از طریق SOCKS5.
- ارتباط با سرورهای فرماندهی و کنترل (C2) از طریق HTTP، HTTPS و کانال‌های رمزنگاری شده.
- ماندگاری (Persistence) در سیستم برای بقا پس از ری‌استارت سرور.
نشانه های شناسایی و انتساب
مهاجمان برای تایید موفقیت حمله، از DNS Beacons استفاده می‌کنند؛ به طوری که Hostname قربانی را به عنوان یک Subdomain در دامنه 0f851bdc9d.ddns.1433.eu.org قرار داده و درخواست HTTP و DNS ارسال می‌کنند. همچنین در برخی موارد، یک Web Shell به نام zer4.php در پوشه‌های عمومی مانند pub/media/ قرار داده می‌شود تا مدیریت فایل‌ها و اجرای دستورات سیستم تسهیل شود.
به دلیل وجود کامنت‌های زبان چینی در اسکریپت‌ها و نام‌گذاری‌های زیرساختی مانند chinow، تحلیلگران با اطمینان متوسط، این حملات را به یک عامل تهدید چینی‌زبان نسبت داده‌اند.
توصیه‌های امنیتی برای مدیران SOC و CISO
مالکان فروشگاه‌ها باید سریعاً Hotfix شماره VULN-39341 شرکت Adobe را اعمال کنند. با این حال، باید توجه داشت که این وصله تنها نقطه ورود را می‌بندد و RATها یا Web Shellهای مستقر شده را حذف نمی‌کند.
در صورت مشاهده موارد زیر، سرور باید کاملاً آلوده تلقی شود:
- وجود فایل‌های
psk_agent.sh،chi_downیاzer4.php. - وجود پروسه‌های مشکوک با نام‌های جعلی مانند
kworker،fc-cacheوchronyd.
اقدامات ضروری: تغییر کلیدهای رمزنگاری Magento، رمزهای عبور دیتابیس، دسترسی‌های Admin، توکن‌های API و کلیدهای SSH. همچنین پایش درخواست‌های DNS به دامنه‌های Beacon و اتصالات Outbound غیرمنتظره سرور توصیه می‌شود.
