Et sikkerhedsbrud i Magento har udsat betalingsoplysninger og kundeinformation for risiko i mere end 3.800 webshops. En angriber, der kalder sig Lockster, udnyttede en kritisk softwaresårbarhed, installerede malware i checkout-processen og skabte skjulte veje tilbage ind i berørte systemer.
Betalingstyveriet rækker ud over checkout-sider
For berørte forhandlere omfatter indbruddet mere end et ondsindet script på en betalingsside. Efterforskere fandt beviser på skimming i checkout-processen, stjålne loginoplysninger til betalingsgateways og vedvarende adgang til butikkernes infrastruktur.
Malwaren i checkout-processen indsamlede kortnumre, sikkerhedskoder og udløbsdatoer. Den gik også efter kundernes navne, adresser, e-mailadresser og telefonnumre.
Samtidig indsamlede angriberen oplysninger om betalingsmetoder, browsere og de butikker, der håndterede hver transaktion.
Lockster ændrede den ondsindede kode mellem installationerne, hvilket gjorde registrering baseret på identiske filer mindre effektiv. Derfor kunne kunder opleve en tilsyneladende normal checkout-proces, mens malware indsamlede deres oplysninger.
Angriberens usikrede server afslører omfanget
Kampagnens omfang blev tydeligere, da efterforskere fandt en internettilgængelig server, der tilhørte Lockster.
Serveren indeholdt stjålet materiale knyttet til mindst 3.834 websites, primært e-handelsvirksomheder. Ofrene spændte fra specialforhandlere til butikker, der solgte computerudstyr, wellnessprodukter og bilrelaterede varer.
Tilsammen havde disse virksomheder håndteret mindst 2 millioner ordrer i 2026. Det samlede tal fastslår dog ikke, hvor mange kunder der mistede betalingsoplysninger.
Antallet af stjålne kort er fortsat ukendt, fordi Lockster sendte en stor del af de indsamlede data til separate destinationer.
Efterforskere opdagede kampagnen den 14. september. Deres resultater placerer starten på kompromitteringerne omkring den 4. september.
Kritisk sårbarhed åbner døren til butikssystemer
Angriberen udnyttede StyleSmuggler, en kritisk sårbarhed, der påvirker Magento og Adobe Commerce, og som sikkerhedsfirmaet Sansec identificerede.
Sårbarheden gjorde det muligt for ondsindede filuploads at føre til kodekørsel uden godkendelse. Efter at være kommet ind i et system kunne Lockster også udnytte yderligere sårbarheder til at opnå højere rettigheder.
Efterforskere fandt overlap mellem den gendannede infrastruktur og indikatorer fra Sansecs analyse af udnyttelseskampagnen.
Adobe udsendte en nødrettelse til den underliggende sårbarhed. At lukke dette adgangspunkt fjerner dog ikke de ændringer, som en ubuden gæst allerede har foretaget.
Stjålne forhandleroplysninger skaber yderligere eksponering
Ud over checkout-data fik Lockster fat i følsomme loginoplysninger til betalingstjenester, herunder Braintree og Authorize.net.
Afhængigt af deres tilladelser kan disse oplysninger muliggøre uautoriserede opkrævninger, tilbagebetalinger eller adgang til yderligere transaktionsoplysninger.
Angriberen installerede også serverbaserede indsamlingsværktøjer for at indsamle andre værdifulde data.
I nogle tilfælde pegede det gendannede materiale på mere målrettet aktivitet. Det omfattede adgangskodeangreb, DNS-manipulation og forsøg på at undersøge CCTV-systemer.
Derudover fandt efterforskere en løsesumsbesked med et krav på 150.000 dollar fra et kasino. Beviserne tyder derfor på, at betalingsskimming kun var én del af Locksters operation.
Skjulte konti holder adgangen åben efter opdatering
Sikkerhedsbruddet i Magento efterlod flere potentielle adgangsveje på kompromitterede systemer.
Lockster installerede et Rust-baseret baggrundsprogram med almindeligt udseende procesnavne, herunder “kworker” og “fc-cache”. Angriberen oprettede også systemkonti til SSH-adgang og tilføjede Magento-administratorprofiler.
Tilsammen kunne disse ændringer hjælpe angriberen med at vende tilbage, efter at en forhandler havde rettet den oprindelige sårbarhed.
Samtidig holdt Lockster øje med, hvilke butikker der installerede sikkerhedsrettelser. Angriberen deaktiverede også almindelige administratorkonti, tilsyneladende for at forhindre konkurrerende angribere i at få adgang.
Efterforskere mistænker, at AI-assisteret automatisering hjalp med at koordinere dele af operationen. De gendannede filer bekræftede dog ikke brugen af AI.
Gendannelse kræver en fuldstændig gennemgang af kompromitteringen
For berørte virksomheder er installationen af Adobes opdatering ét skridt i en bredere gendannelsesproces.
Efterforskere anbefaler at kontrollere for uautoriserede konti, ændrede betalingsfiler, checkout-skimmere og mistænkelige baggrundsprogrammer. Forhandlere bør også gennemgå forbindelser til kendt angriberinfrastruktur.
Hvis disse kontroller afslører en kompromittering, skal administratorer fjerne ondsindede komponenter og tilbagekalde uautoriseret adgang.
Endelig bør gendannelsen omfatte udskiftning af eksponerede adgangskoder, betalingsoplysninger og andre hemmeligheder. Ellers kan stjålne loginoplysninger eller tilbageværende bagdøre gøre en opdateret butik sårbar over for yderligere misbrug.
0 svar til “Sikkerhedsbrud i Magento efterlader over 3.800 webshops eksponeret”