Et sikkerhetsbrudd i Magento har satt betalingsopplysninger og kundeinformasjon i fare i mer enn 3 800 nettbutikker. En angriper som kaller seg Lockster, utnyttet en kritisk programvaresårbarhet, installerte skadevare i betalingsprosessen og opprettet skjulte veier tilbake inn i berørte systemer.
Betalingstyveriet strekker seg utover betalingssider
For berørte forhandlere innebærer innbruddet mer enn et ondsinnet skript på en betalingsside. Etterforskere fant bevis på skimming i betalingsprosessen, stjålne tilgangsopplysninger til betalingsgatewayer og vedvarende tilgang til butikkenes infrastruktur.
Skadevaren i betalingsprosessen samlet inn kortnumre, sikkerhetskoder og utløpsdatoer. Den rettet seg også mot kundenes navn, adresser, e-postadresser og telefonnumre.
Samtidig samlet angriperen inn informasjon om betalingsmetoder, nettlesere og butikkene som håndterte hver transaksjon.
Lockster endret den ondsinnede koden mellom installasjonene, noe som gjorde oppdagelse basert på identiske filer mindre effektiv. Dermed kunne kunder møte en tilsynelatende normal betalingsprosess mens skadevare samlet inn informasjonen deres.
Angriperens usikrede server avslører omfanget
Kampanjens omfang ble tydeligere da etterforskere fant en internettilgjengelig server som tilhørte Lockster.
Serveren inneholdt stjålet materiale knyttet til minst 3 834 nettsteder, hovedsakelig nettbutikker. Ofrene varierte fra spesialforhandlere til butikker som solgte datautstyr, velværeprodukter og bilrelaterte varer.
Til sammen hadde disse virksomhetene håndtert minst 2 millioner bestillinger i 2026. Dette tallet fastslår imidlertid ikke hvor mange kunder som mistet betalingsinformasjon.
Antallet stjålne kort er fortsatt ukjent fordi Lockster sendte mye av de innsamlede dataene til separate destinasjoner.
Etterforskere oppdaget kampanjen 14. september. Funnene deres plasserer starten på kompromitteringene rundt 4. september.
Kritisk sårbarhet åpner døren til butikksystemer
Angriperen utnyttet StyleSmuggler, en kritisk sårbarhet som påvirker Magento og Adobe Commerce, og som sikkerhetsselskapet Sansec identifiserte.
Svakheten gjorde det mulig for opplasting av ondsinnede filer å føre til kjøring av kode uten autentisering. Etter å ha kommet seg inn i et system kunne Lockster også utnytte ytterligere sårbarheter for å oppnå høyere rettigheter.
Etterforskere fant overlapp mellom den gjenopprettede infrastrukturen og indikatorer fra Sansecs analyse av utnyttelseskampanjen.
Adobe ga ut en nødoppdatering for den underliggende sårbarheten. Å stenge dette inngangspunktet reverserer likevel ikke endringer en inntrenger allerede har gjort.
Stjålne forhandleropplysninger skaper ytterligere eksponering
I tillegg til betalingsdata fikk Lockster tak i sensitive tilgangsopplysninger for betalingstjenester, inkludert Braintree og Authorize.net.
Avhengig av tillatelsene deres kan disse opplysningene muliggjøre uautoriserte belastninger, refusjoner eller tilgang til ytterligere transaksjonsinformasjon.
Angriperen installerte også innsamlingsverktøy på serversiden for å hente inn andre verdifulle data.
I enkelte tilfeller tydet det gjenopprettede materialet på mer målrettet aktivitet. Dette inkluderte passordangrep, DNS-manipulering og forsøk på å undersøke CCTV-systemer.
I tillegg fant etterforskere et løsepengekrav på 150 000 dollar rettet mot et kasino. Bevisene tyder derfor på at betalingsskimming bare var én del av Locksters virksomhet.
Skjulte kontoer holder tilgangen åpen etter oppdatering
Sikkerhetsbruddet i Magento etterlot flere potensielle tilgangsveier på kompromitterte systemer.
Lockster installerte et Rust-basert bakgrunnsprogram med ordinært utseende prosessnavn, inkludert «kworker» og «fc-cache». Angriperen opprettet også systemkontoer for SSH-tilgang og la til Magento-administratorprofiler.
Til sammen kunne disse endringene hjelpe angriperen med å komme tilbake etter at en forhandler hadde rettet den opprinnelige sårbarheten.
Samtidig fulgte Lockster med på hvilke butikker som installerte sikkerhetsoppdateringer. Angriperen deaktiverte også vanlige administratorkontoer, tilsynelatende for å hindre konkurrerende angripere i å få tilgang.
Etterforskere mistenker at AI-assistert automatisering bidro til å koordinere deler av operasjonen. De gjenopprettede filene bekreftet imidlertid ikke bruk av AI.
Gjenoppretting krever en fullstendig gjennomgang av kompromitteringen
For berørte virksomheter er installasjon av Adobes oppdatering ett steg i en bredere gjenopprettingsprosess.
Etterforskere anbefaler å kontrollere uautoriserte kontoer, endrede betalingsfiler, betalingsskimmere og mistenkelige bakgrunnsprogrammer. Forhandlere bør også gjennomgå forbindelser til kjent angriperinfrastruktur.
Hvis disse kontrollene avdekker en kompromittering, må administratorer fjerne ondsinnede komponenter og tilbakekalle uautorisert tilgang.
Til slutt bør gjenopprettingen omfatte utskifting av eksponerte passord, betalingsopplysninger og andre hemmeligheter. Ellers kan stjålne tilgangsopplysninger eller gjenværende bakdører gjøre en oppdatert butikk sårbar for ytterligere misbruk.
0 responses to “Sikkerhetsbrudd i Magento etterlater over 3 800 nettbutikker eksponert”