✔Вредоносная кампания Xurum полагается на критическую уязвимость в Magento 2 - «Новости»

Akamai предупреждает, что e-commerce сайты, работающие под управлением Adobe Magento 2, становятся жертвами вредоносной кампании Xurum, начавшейся еще в январе 2023 года.

В своих атаках хакеры эксплуатируют уже исправленную критическую уязвимость CVE-2022-24086 (9,8 балла по шкале CVSS) в Adobe Commerce и Magento Open Source, которая позволяет им добиться удаленного выполнения произвольного кода.

CVE-2022-24086 используется для первоначального доступа к целевым системам, а затем злоумышленники переходят к выполнению вредоносного PHP-кода, который собирает информацию о хосте и внедрят веб-шелл wso-ng, который маскируется под компонент Google Shopping Ads.

Отмечается, что этот бэкдор работает в памяти и активируется лишь тогда, когда злоумышленник отправляет в HTTP-запросе файл cookie magemojo000, после чего осуществляется доступ и извлечение информации о способах оплаты заказов за последние 10 дней.

Считается, что wso-ng — это эволюционировавший веб-шелл WSO, который обладает новой скрытой страницей входа для кражи учетных данных жертв, а также интегрируется с такими легитимными инструментами, как VirusTotal и SecurityTrails, чтобы узнать репутацию IP-адреса зараженной машины и получить информацию о других доменах, расположенных на том же сервере.

Как правило, атаки завершаются добавлением на сайт пользователя-администратора с именем mageworx или mageplaza. Таким способом хакеры пытаются замаскировать свои действия, поскольку такие имена обычно используются популярными расширениями для Magento.

В отчете исследователей отмечается, что некоторые из пострадавших сайтов также оказались заражены простыми веб-скиммерами на основе jаvascript, предназначенными для сбора и кражи информации о банковских картах.