Magento-Sicherheitslücke gefährdet mehr als 3.800 Online-Shops

Ein Magento-Sicherheitsvorfall hat Zahlungsdaten und Kundeninformationen in mehr als 3.800 Online-Shops gefährdet. Ein Angreifer, der sich Lockster nennt, nutzte eine kritische Software-Schwachstelle aus, installierte Malware im Checkout-Prozess und schuf versteckte Wege zurück in die betroffenen Systeme.

Datendiebstahl geht über Checkout-Seiten hinaus

Für betroffene Händler umfasst der Angriff mehr als nur ein bösartiges Skript auf einer Zahlungsseite. Ermittler fanden Hinweise auf Checkout-Skimming, gestohlene Zugangsdaten für Zahlungs-Gateways und dauerhaften Zugriff auf die Infrastruktur der Shops.

Die Checkout-Malware sammelte Kartennummern, Sicherheitscodes und Ablaufdaten. Sie zielte außerdem auf Namen, Adressen, E-Mail-Adressen und Telefonnummern von Kunden ab.

Gleichzeitig sammelte der Angreifer Informationen über Zahlungsmethoden, Browser und die Shops, die die jeweiligen Transaktionen abwickelten.

Lockster veränderte den Schadcode zwischen den einzelnen Installationen, wodurch die Erkennung anhand identischer Dateien weniger effektiv wurde. Dadurch konnten Kunden einen scheinbar normalen Checkout-Prozess durchlaufen, während Malware ihre Daten erfasste.

Ungesicherter Server des Angreifers zeigt das Ausmaß

Das Ausmaß der Kampagne wurde deutlicher, als Ermittler einen über das Internet zugänglichen Server von Lockster entdeckten.

Der Server enthielt gestohlenes Material, das mit mindestens 3.834 Websites in Verbindung stand, hauptsächlich mit E-Commerce-Unternehmen. Zu den Opfern gehörten sowohl spezialisierte Händler als auch Shops für Computerausrüstung, Wellnessprodukte und Autozubehör.

Zusammen hatten diese Unternehmen im Jahr 2026 mindestens 2 Millionen Bestellungen abgewickelt. Diese Zahl gibt jedoch keinen Aufschluss darüber, wie viele Kunden Zahlungsinformationen verloren haben.

Die Anzahl der gestohlenen Karten bleibt unbekannt, da Lockster einen Großteil der erfassten Daten an separate Ziele sendete.

Ermittler entdeckten die Kampagne am 14. September. Ihren Erkenntnissen zufolge begannen die Kompromittierungen etwa am 4. September.

Kritische Schwachstelle öffnet Zugang zu Shop-Systemen

Der Angreifer nutzte StyleSmuggler aus, eine kritische Schwachstelle in Magento und Adobe Commerce, die das Sicherheitsunternehmen Sansec identifiziert hatte.

Die Schwachstelle ermöglichte es, durch das Hochladen bösartiger Dateien ohne Authentifizierung Code auszuführen. Nach dem Eindringen in ein System konnte Lockster zudem weitere Schwachstellen ausnutzen, um höhere Berechtigungen zu erhalten.

Ermittler fanden Überschneidungen zwischen der sichergestellten Infrastruktur und Indikatoren aus Sansecs Analyse der Angriffskampagne.

Adobe veröffentlichte einen Notfall-Patch für die zugrunde liegende Schwachstelle. Das Schließen dieses Einstiegspunkts macht jedoch Änderungen, die ein Eindringling bereits vorgenommen hat, nicht rückgängig.

Gestohlene Händler-Zugangsdaten schaffen weitere Risiken

Neben Checkout-Daten erbeutete Lockster sensible Zugangsdaten für Zahlungsdienste, darunter Braintree und Authorize.net.

Abhängig von den jeweiligen Berechtigungen könnten diese Zugangsdaten unbefugte Abbuchungen, Rückerstattungen oder den Zugriff auf zusätzliche Transaktionsinformationen ermöglichen.

Der Angreifer installierte außerdem serverseitige Tools zur Erfassung weiterer wertvoller Daten.

In einigen Fällen deutete das sichergestellte Material auf gezieltere Aktivitäten hin. Dazu gehörten Passwortangriffe, DNS-Manipulationen und Versuche, CCTV-Systeme zu untersuchen.

Darüber hinaus fanden Ermittler eine Lösegeldforderung über 150.000 US-Dollar an ein Casino. Die Beweise deuten daher darauf hin, dass Zahlungsskimming nur ein Teil von Locksters Aktivitäten war.

Versteckte Konten ermöglichen Zugriff auch nach dem Patchen

Der Magento-Sicherheitsvorfall hinterließ mehrere potenzielle Zugangswege auf kompromittierten Systemen.

Lockster installierte ein Rust-basiertes Hintergrundprogramm mit unauffälligen Prozessnamen, darunter „kworker“ und „fc-cache“. Der Angreifer erstellte außerdem Systemkonten für den SSH-Zugriff und fügte Magento-Administratorprofile hinzu.

Zusammen könnten diese Änderungen dem Angreifer ermöglichen, zurückzukehren, nachdem ein Händler die ursprüngliche Schwachstelle behoben hat.

Gleichzeitig verfolgte Lockster, welche Shops Sicherheitsupdates installierten. Der Angreifer deaktivierte außerdem häufig verwendete Administratorkonten, offenbar um konkurrierende Angreifer am Zugriff zu hindern.

Ermittler vermuten, dass KI-gestützte Automatisierung bei der Koordination von Teilen der Operation half. Die sichergestellten Dateien bestätigten jedoch keinen Einsatz von KI.

Wiederherstellung erfordert eine vollständige Überprüfung des Vorfalls

Für betroffene Unternehmen ist die Installation von Adobes Update nur ein Schritt in einem umfassenderen Wiederherstellungsprozess.

Ermittler empfehlen, nach unbefugten Konten, veränderten Zahlungsdateien, Checkout-Skimmern und verdächtigen Hintergrundprogrammen zu suchen. Händler sollten außerdem Verbindungen zu bekannter Infrastruktur des Angreifers überprüfen.

Wenn diese Überprüfungen eine Kompromittierung aufdecken, müssen Administratoren bösartige Komponenten entfernen und unbefugte Zugriffe widerrufen.

Schließlich sollte die Wiederherstellung auch den Austausch offengelegter Passwörter, Zahlungszugangsdaten und anderer Geheimnisse umfassen. Andernfalls könnten gestohlene Zugangsdaten oder verbliebene Hintertüren dazu führen, dass ein gepatchter Shop weiterhin für Missbrauch anfällig bleibt.