Ett säkerhetsintrång i Magento har utsatt betalningsuppgifter och kundinformation för risker i över 3 800 nätbutiker. En angripare som kallar sig Lockster utnyttjade en kritisk sårbarhet i programvaran, installerade skadlig kod i kassaflödet och skapade dolda vägar tillbaka in i drabbade system.
Betalningsstölden sträcker sig bortom kassasidorna
För drabbade handlare omfattar intrånget mer än ett skadligt skript på en betalningssida. Utredare hittade bevis på skimming i kassaflödet, stulna inloggningsuppgifter till betalningsgateways och bestående åtkomst till butikernas infrastruktur.
Den skadliga koden i kassaflödet samlade in kortnummer, säkerhetskoder och utgångsdatum. Den riktade också in sig på kundernas namn, adresser, e-postadresser och telefonnummer.
Samtidigt samlade angriparen in information om betalningsmetoder, webbläsare och de butiker som hanterade varje transaktion.
Lockster ändrade den skadliga koden mellan installationerna, vilket gjorde upptäckt baserad på identiska filer mindre effektiv. Därför kunde kunder möta ett till synes normalt kassaflöde samtidigt som skadlig kod samlade in deras information.
Angriparens oskyddade server avslöjar omfattningen
Kampanjens omfattning blev tydligare när utredare hittade en internetåtkomlig server som tillhörde Lockster.
Servern innehöll stulet material kopplat till minst 3 834 webbplatser, främst e-handelsföretag. Offren varierade från specialiserade återförsäljare till butiker som säljer datorutrustning, hälsoprodukter och bilrelaterade varor.
Tillsammans hade dessa företag hanterat minst 2 miljoner beställningar under 2026. Den siffran visar dock inte hur många kunder som förlorade betalningsinformation.
Antalet stulna kort är fortfarande okänt eftersom Lockster skickade en stor del av den insamlade informationen till separata destinationer.
Utredare upptäckte kampanjen den 14 september. Deras resultat placerar början av intrången omkring den 4 september.
Kritisk sårbarhet öppnar dörren till butikssystem
Angriparen utnyttjade StyleSmuggler, en kritisk sårbarhet som påverkar Magento och Adobe Commerce och som säkerhetsföretaget Sansec identifierade.
Sårbarheten gjorde det möjligt för uppladdningar av skadliga filer att leda till kodkörning utan autentisering. Efter att ha tagit sig in i ett system kunde Lockster även utnyttja ytterligare sårbarheter för att få högre behörigheter.
Utredare hittade överlappningar mellan den återfunna infrastrukturen och indikatorer från Sansecs analys av exploateringskampanjen.
Adobe släppte en akut säkerhetsuppdatering för den underliggande sårbarheten. Att stänga denna ingång återställer dock inte de ändringar som en angripare redan har gjort.
Stulna handlaruppgifter skapar ytterligare exponering
Utöver kassadata fick Lockster tillgång till känsliga inloggningsuppgifter för betaltjänster, inklusive Braintree och Authorize.net.
Beroende på deras behörigheter skulle dessa uppgifter kunna möjliggöra obehöriga debiteringar, återbetalningar eller åtkomst till ytterligare transaktionsinformation.
Angriparen installerade även serverbaserade insamlingsverktyg för att komma åt andra värdefulla uppgifter.
I vissa fall pekade det återfunna materialet på mer riktad aktivitet. Det omfattade lösenordsattacker, DNS-manipulation och försök att undersöka CCTV-system.
Dessutom hittade utredare ett meddelande med ett krav på 150 000 dollar från ett kasino. Bevisen tyder därför på att betalningsskimming endast var en del av Locksters verksamhet.
Dolda konton håller åtkomsten öppen efter uppdatering
Säkerhetsintrånget i Magento lämnade flera potentiella åtkomstvägar på komprometterade system.
Lockster installerade ett Rust-baserat bakgrundsprogram med vardagliga processnamn, inklusive ”kworker” och ”fc-cache”. Angriparen skapade också systemkonton för SSH-åtkomst och lade till Magento-administratörsprofiler.
Tillsammans kunde dessa ändringar hjälpa angriparen att återvända efter att en handlare hade åtgärdat den ursprungliga sårbarheten.
Samtidigt höll Lockster koll på vilka butiker som installerade säkerhetsuppdateringar. Angriparen inaktiverade också vanliga administratörskonton, uppenbarligen för att hindra konkurrerande angripare från att få åtkomst.
Utredare misstänker att AI-assisterad automatisering hjälpte till att samordna delar av operationen. De återfunna filerna bekräftade dock inte att AI användes.
Återställning kräver en fullständig granskning av intrånget
För drabbade företag är installationen av Adobes uppdatering ett steg i en bredare återställningsprocess.
Utredare rekommenderar att företag kontrollerar obehöriga konton, ändrade betalningsfiler, kassaskimmers och misstänkta bakgrundsprogram. Handlare bör också granska anslutningar till känd angriparinfrastruktur.
Om dessa kontroller avslöjar ett intrång behöver administratörer ta bort skadliga komponenter och återkalla obehörig åtkomst.
Slutligen bör återställningen omfatta byte av exponerade lösenord, betalningsuppgifter och andra hemligheter. Annars kan stulna inloggningsuppgifter eller kvarvarande bakdörrar göra en uppdaterad butik sårbar för ytterligare missbruk.
0 svar till ”Säkerhetsintrång i Magento lämnar över 3 800 nätbutiker exponerade”