El comercio electrónico se ha convertido en el blanco favorito de los ciberdelincuentes, y la última vulnerabilidad descubierta en Magento y Adobe Commerce es un recordatorio de que ninguna plataforma es inmune.
Bautizada como StyleSmuggler, esta vulnerabilidad zero-day afecta a todas las versiones de Magento y Adobe Commerce, y ya está siendo explotada en ataques para desplegar un backdoor en los servidores de las tiendas online.
El primer incidente de explotación se registró el 4 de septiembre, y Adobe aún no ha lanzado un parche, aunque la compañía ha confirmado que está trabajando en una solución.
La gravedad de la situación radica en la popularidad de Magento, una plataforma de código abierto utilizada por más de 160.000 sitios web, incluyendo 14.000 de los 1 millón de sitios más visitados del mundo. Cualquier tienda online que utilice Magento o Adobe Commerce es un objetivo potencial, y los administradores deben actuar con rapidez para mitigar el riesgo hasta que se publique el parche.
La inyección de PHP que se hace pasar por un correo de pago fallido
El exploit StyleSmuggler, detectado por la empresa de seguridad Sansec, abusa del sistema de plantillas de Magento mediante la inyección de código PHP. El ataque genera un correo electrónico falso de “pago fallido”, que desencadena la ejecución del código en el servidor. Esta técnica permite a los atacantes eludir los mecanismos de seguridad tradicionales y ejecutar comandos arbitrarios en el sistema.
Una vez que la inyección de código tiene éxito, el atacante instala un pequeño backdoor en Rust que se ejecuta como un proceso en segundo plano.
El malware se disfraza de procesos legítimos del sistema, como [kworker/u:8:0] en versiones antiguas o como fc-cache en las versiones más recientes, copiándose a la ruta ~/.cache/fontconfig/fc-cache para evitar ser detectado.
Además, el atacante añade una tarea programada (cron) que se ejecuta cada 30 minutos para garantizar la persistencia del backdoor.
Comunicación sigilosa: del WebSocket al tráfico NTP
El backdoor no solo se instala en el sistema; también establece comunicación con la infraestructura de los atacantes.
Las versiones anteriores del malware utilizaban TLS/WebSockets para comunicarse con el servidor de comando y control (C2). Sin embargo, las versiones más recientes han evolucionado para ocultar su tráfico como si fuera Network Time Protocol (NTP), enviando paquetes UDP al puerto 123 y utilizando nombres de host que se asemejan a infraestructuras de sincronización horaria.
Esta técnica, conocida como “suplantación de protocolo”, permite al malware evadir los cortafuegos y los sistemas de detección de red, que suelen permitir el tráfico NTP sin restricciones. Una vez establecida la comunicación, el backdoor puede recibir comandos del atacante, como la descarga de malware adicional, el robo de datos o el despliegue de ransomware.
El malware también determina la dirección IP pública del servidor utilizando servicios como ipify, icanhazip, ident.me e ipinfo.io, y comprueba el valor TracerPid de Linux para detectar si está siendo rastreado. Si se detecta un rastreo, el malware no se comunica con el C2, aunque sigue instalado en el sistema.
El parche que no llega y la mitigación temporal
Adobe ha confirmado que está trabajando en una solución para StyleSmuggler, pero aún no ha proporcionado un plazo para su lanzamiento. La próxima publicación de seguridad programada de la compañía es el 8 de septiembre, por lo que es posible que el parche se incluya en esa actualización, aunque Adobe no ha confirmado esta posibilidad.
Hasta que se publique el parche, Sansec recomienda a los administradores de sitios web que deshabiliten GraphQL como medida de mitigación temporal. GraphQL es una funcionalidad que puede ser explotada por los atacantes para inyectar código PHP, y su desactivación reduce significativamente el riesgo de explotación.
Señales de compromiso: qué buscar y cómo responder
Sansec ha identificado varias señales que pueden indicar que un sitio web ha sido comprometido por StyleSmuggler:
- Un aumento inesperado de correos electrónicos de “Pago fallido” en la tienda.
- La presencia de procesos
kworkerofc-cacheque no corresponden a la actividad normal del sistema. - Tareas cron sospechosas que se ejecutan cada 30 minutos.
- Archivos temporales inusuales en el sistema.
Si los administradores sospechan que su sitio web ha sido comprometido, se recomienda:
- Aislar el servidor de la red para evitar la propagación del ataque.
- Rotar todas las credenciales de Magento, incluyendo las claves de API y las contraseñas de administrador.
- Revisar los registros de acceso en busca de actividad sospechosa.
- Eliminar los procesos maliciosos y las tareas cron asociadas.
- Restaurar el sitio web desde una copia de seguridad limpia si el compromiso es confirmado.
Un recordatorio de la vulnerabilidad del comercio electrónico
El caso de StyleSmuggler es un recordatorio de que las plataformas de comercio electrónico son objetivos prioritarios para los ciberdelincuentes. La naturaleza crítica de los datos que manejan (información de clientes, datos de pago, credenciales de administrador) y la dependencia de la continuidad del negocio hacen que estas plataformas sean especialmente atractivas.
La vulnerabilidad también subraya la importancia de la respuesta rápida a las amenazas zero-day. Aunque Adobe está trabajando en un parche, la existencia de un exploit activo significa que los atacantes ya están aprovechando la vulnerabilidad.
Los administradores deben tomar medidas inmediatas para mitigar el riesgo y prepararse para la aplicación del parche tan pronto como esté disponible.
La espera del parche
El reloj corre para los administradores de Magento y Adobe Commerce. Mientras esperan el parche de Adobe, deben implementar las medidas de mitigación recomendadas y permanecer atentos a cualquier señal de compromiso. La seguridad de sus tiendas online y de los datos de sus clientes depende de la rapidez con la que actúen.
Sansec ha hecho pública su recomendación de deshabilitar GraphQL, y los administradores deben seguir este consejo sin demora. El coste de una brecha de seguridad en una tienda online es demasiado alto para arriesgarse a esperar el parche.
StyleSmuggler no solo afecta a la tecnología, sino a la confianza de los clientes en el comercio electrónico. Los administradores que actúen con rapidez y transparencia podrán minimizar el impacto y proteger tanto su negocio como la reputación de su marca.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
