PSK Agent: תוקפים מנצלים את פרצת StyleSmuggler ב-Magento להשתלת סוס טרויאני בחנויות
Imperva חושפת קמפיין חדש שמנצל את החולשה הקריטית ב-Magento ומתקין שלט רחוק בשם PSK Agent ודלת אחורית בשרתי החנויות. התיקון של Adobe לא מנקה חנות שכבר נפרצה.
TL;DR בקצרה
- Imperva זיהתה קמפיין שתקף חנויות Magento ו-Adobe Commerce בין 9 ל-13 בספטמבר
- התוקפים ניצלו את CVE-2026-75650 (StyleSmuggler) והתקינו סוס טרויאני בשפת Go בשם PSK Agent
- קובץ ההורדה הראשון עבר את כל מנועי האנטי-וירוס ב-VirusTotal בלי זיהוי אחד
- תיקון VULN-39341 חוסם את הכניסה, אבל לא מסיר נוזקה שכבר הותקנה
חוקרי Imperva חשפו קמפיין שמנצל את פרצת StyleSmuggler ב-Magento כדי להתקין סוס טרויאני בשם PSK Agent בשרתי חנויות אונליין. לפי הדוח של Imperva מ-2 בנובמבר, התקיפות התרחשו בין 9 ל-13 בספטמבר. הן פגעו בחנויות במערב אירופה, בצפון אמריקה ובאזור אסיה והפסיפיק. זה עדכון לסיפור שסיקרנו בספטמבר, והחדשות הן שיש כאן תוקף נוסף עם ארגז כלים משלו.
מה גילתה Imperva על PSK Agent
החולשה עצמה, CVE-2026-75650, קיבלה את הציון החמור ביותר האפשרי. Adobe פרסמה לה תיקון חירום בשם VULN-39341 ב-7 בספטמבר. חנויות שלא התקינו אותו בזמן נשארו פתוחות לתוקפים.
שרשרת התקיפה עובדת בכמה שלבים. בשלב הראשון התוקף שולח קוד PHP בתוך כתובת של רכיב התשלום של PayPal בחנות. Magento שומרת את הבקשה בקובץ דוח בתיקייה var/report. בשלב השני בקשה ל-GraphQL טוענת את הקובץ הזה ומריצה את הקוד שבתוכו.
משם הקוד מוריד סקריפט קטן ומריץ אותו ישירות בזיכרון, בלי לכתוב אותו לדיסק. הסקריפט מוריד את PSK Agent, שלט רחוק בשפת Go בגודל 10.5MB. התוכנה הזדונית מריצה פקודות, אוספת מידע על השרת והופכת אותו לשרת פרוקסי מסוג SOCKS5. כדי להסתתר, היא מתחזה לתהליכים רגילים של לינוקס כמו kworker ו-chronyd.
בחלק מהמקרים התוקפים השאירו גם מעטפת רשת (webshell) בשם zer4.php בתיקייה pub/media. זה מנהל קבצים מלא שמאפשר לגלוש בשרת, לערוך קבצים ולהריץ פקודות. לדברי Imperva, בזמן הניתוח אף מנוע אנטי-וירוס ב-VirusTotal לא זיהה את הסקריפט הראשון.
למה PSK Agent מסוכן גם לחנות שכבר עודכנה
הנקודה החשובה בדוח היא שהתיקון סוגר רק את דלת הכניסה. אם התוקף נכנס לפני ההתקנה, הנוזקה נשארת בשרת גם אחרי העדכון. לפי Imperva, היא כנראה בנויה לשרוד הפעלה מחדש של השרת ולחזור לפעול לבד.
Imperva גם מציינת שזה לא אותו תוקף שתועד בספטמבר. אז דיווחו על דלת אחורית בשפת Rust, ועכשיו מדובר בכלים אחרים לגמרי. כלומר, כמה קבוצות סורקות את הרשת ומחפשות חנויות שלא עודכנו. החוקרים מעריכים ברמת ביטחון בינונית שמאחורי הקמפיין עומדים דוברי סינית, בעיקר בגלל הערות בסינית בקוד.
לחנות אונליין, שרת פרוץ הוא בעיה גדולה במיוחד. מי ששולט בשרת יכול לגשת למסד הנתונים של הלקוחות, למפתחות של ספק הסליקה ולסיסמאות המנהלים. לכן Imperva ממליצה להתייחס לכל שרת עם סימני פריצה כאל אירוע אבטחה מלא, ולא רק לעדכן ולהמשיך הלאה.
אילו חנויות בסיכון? לפי BleepingComputer, החולשה פוגעת בגרסה המסחרית של Adobe Commerce החל מ-2.4.4 ועד 2.4.9. היא פוגעת גם בגרסה החינמית של Magento, החל מ-2.4.6 ועד 2.4.9. גם גרסת B2B של החברה בסיכון, מ-1.3.3 ועד 1.5.3. לפי האתר, Adobe בדקה את התיקון רק מול הגרסאות של אוגוסט 2026.
מה זה אומר עבורכם
- יש לכם חנות על Magento או Adobe Commerce? ודאו מול המפתח או חברת האחסון שתיקון VULN-39341 מותקן בפועל.
- חפשו קבצי PHP לא מוכרים בתיקייה pub/media ובתיקייה הראשית של האתר. שימו לב במיוחד לקובץ zer4.php.
- בדקו משימות cron ושירותי systemd חדשים, ותהליכים בשמות kworker, fc-cache או chronyd שרצים מתיקיות זמניות.
- אם יש סימן לפריצה, החליפו את כל הסודות. זה כולל את מפתח ההצפנה של Magento, סיסמאות המנהלים ומסד הנתונים, מפתחות SSH ופרטי הגישה לספק הסליקה.
- עובדים על גרסה ישנה שכבר לא מקבלת עדכונים? תכננו מעבר לגרסה נתמכת, כי אין לה תיקון רשמי.
מה הלאה
Imperva פרסמה רשימה של כתובות IP, דומיינים וטביעות קבצים של הקמפיין. כדאי להעביר אותה לחברת האחסון או למי שמנהל לכם את חומת האש. התוקפים מחליפים תשתיות מהר, ולכן הבדיקה החשובה היא חיפוש הקבצים והתהליכים בשרת עצמו.
מקורות והרחבה
- StyleSmuggler Exploitation Deploys PSK Agent RAT Against Magento StoresImperva
- Adobe fixes critical Magento zero-day exploited to backdoor serversBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
