Ciberseguridad

Atacantes están explotando activamente una vulnerabilidad zero-day sin parchear en Adobe Commerce y Magento Open Source para comprometer tiendas online e instalar puertas traseras persistentes en sus servidores. La firma neerlandesa de seguridad Sansec ha bautizado el fallo como StyleSmuggler y asegura haber observado los primeros ataques el pasado 4 de septiembre.

El problema resulta especialmente preocupante porque los ataques comenzaron antes de que existiera una actualización oficial capaz de corregirlo. A 6 de septiembre no había disponible ningún parche del fabricante y la vulnerabilidad todavía no contaba con un identificador CVE.

Además, uno de los primeros comercios conocidos que sufrió una intrusión utilizaba Magento 2.4.6-p15 con todos los parches disponibles instalados, por lo que mantener la plataforma completamente actualizada no fue suficiente para impedir el ataque.

StyleSmuggler ha sido confirmado también en Magento Open Source 2.4.7, 2.4.8 y 2.4.9.

Así funciona StyleSmuggler

La vulnerabilidad permite alcanzar la ejecución remota de código (RCE) mediante una cadena de ataque dividida en dos etapas que aprovecha la interfaz GraphQL de Magento.

Según el análisis de Sansec, los atacantes comienzan introduciendo código PHP malicioso dentro de archivos que el propio Magento genera de manera legítima, como determinados informes de errores.

Posteriormente consiguen ejecutar ese código aprovechando la función Payment Transaction Failed Reminder, utilizada por la plataforma para generar correos electrónicos relacionados con transacciones de pago fallidas.

Uno de los aspectos más relevantes de StyleSmuggler es que la víctima no necesita abrir el correo electrónico. La ejecución se produce cuando Magento genera el recordatorio, por lo que el mensaje funciona como desencadenante dentro del propio servidor y no como un mecanismo tradicional de phishing dirigido al usuario.

Esta combinación permite transformar una funcionalidad legítima de la plataforma en una vía para ejecutar código controlado por los atacantes.

Una puerta trasera diseñada para permanecer oculta

Después de conseguir ejecutar código, los ciberdelincuentes no se limitan a realizar una acción puntual. La campaña observada por Sansec instala un implante persistente preparado para permanecer en los sistemas comprometidos.

El malware intenta camuflarse utilizando el nombre de proceso [kworker/u:8:0], similar al empleado por procesos legítimos del kernel de Linux. De esta manera, una revisión superficial de los procesos activos podría no despertar inmediatamente sospechas.

El archivo malicioso se almacena en:

~/.local/share/.gvfsd/gvfsd-user

Los atacantes crean además una tarea cron que vuelve a ejecutar el implante cada cinco minutos, proporcionando persistencia incluso si el proceso malicioso es detenido temporalmente.

Entre los indicadores de compromiso identificados por Sansec también aparece el dominio 247.cdnflare.xyz.

La persistencia resulta especialmente peligrosa porque significa que instalar posteriormente un parche para StyleSmuggler no necesariamente eliminaría una puerta trasera que ya estuviera presente. Los comercios potencialmente comprometidos necesitan, por tanto, comprobar sus sistemas además de aplicar las actualizaciones que puedan publicarse.

Incluso las tiendas actualizadas pueden haber sido comprometidas

Uno de los hallazgos que aumenta la gravedad del incidente es que tener Magento actualizado no garantiza actualmente estar protegido.

Sansec señala que la primera víctima conocida utilizaba Magento Open Source 2.4.6-p15 y había instalado todos los parches disponibles. Los atacantes consiguieron comprometerla pese a ello.

Esto diferencia la situación de numerosas campañas que explotan vulnerabilidades antiguas para las que existe desde hace meses una actualización de seguridad.

En StyleSmuggler, los atacantes disponen de una ventana de oportunidad en la que pueden explotar el problema mientras los administradores todavía carecen de una solución oficial específica.

La importancia de Magento dentro del comercio electrónico incrementa además el interés de una vulnerabilidad de estas características. Adobe adquirió Magento en 2018 y comercializa su plataforma empresarial bajo la denominación Adobe Commerce, mientras Magento Open Source continúa siendo utilizado por numerosos comercios.

Las tiendas online constituyen desde hace años un objetivo prioritario para grupos especializados en el robo de información de pago, incluidas las campañas conocidas genéricamente como Magecart.

Sin CVE ni parche oficial

En el momento descrito por los investigadores, StyleSmuggler todavía no tenía asignado un CVE y Adobe no había publicado un boletín específico para solucionar el problema.

La vulnerabilidad tampoco aparecía en el catálogo de vulnerabilidades explotadas conocidas de CISA, aunque Sansec ya había documentado actividad maliciosa real.

Esta situación deja un número todavía desconocido de instalaciones potencialmente expuestas mientras circula tráfico asociado a la explotación del fallo.

El boletín de seguridad programado más reciente de Adobe Commerce, APSB26-92, había sido publicado el 11 de agosto y corregía diferentes vulnerabilidades críticas e importantes en las ramas comprendidas entre las versiones 2.4.4 y 2.4.9.

La siguiente actualización de seguridad programada por Adobe estaba prevista para el 8 de septiembre. Sin embargo, en la información facilitada no constaba todavía una confirmación pública de Adobe de que esa actualización fuera a solucionar StyleSmuggler.