Se ha descubierto que los actores de amenazas están explotando una falla crítica en el sistema de comercio electrónico Magento para inyectar una puerta trasera persistente en sitios web de comercio electrónico.
Vulnerabilidad identificada
El ataque aprovecha la vulnerabilidad CVE-2024-20720, que tiene una puntuación CVSS de 9,1. Adobe describió esta vulnerabilidad como un caso de «neutralización inadecuada de elementos especiales» que podría permitir la ejecución de código arbitrario.
La empresa abordó este problema como parte de las actualizaciones de seguridad publicadas el 13 de febrero de 2024.
Mecanismo del ataque
Sansec informó que descubrió una «plantilla de diseño inteligentemente diseñada en la base de datos» utilizada para inyectar automáticamente código malicioso y ejecutar comandos arbitrarios.
«Los atacantes combinan el analizador de diseño de Magento con el paquete beberlei/assert (instalado por defecto) para ejecutar comandos del sistema», explicó la compañía. «Debido a que el bloque de diseño está vinculado al carrito de pago, este comando se ejecuta cada vez que se solicita /checkout/cart».
El comando utilizado es sed, herramienta para insertar una puerta trasera de ejecución de código. Esta puerta trasera luego permite entregar un skimmer de pagos, capaz de capturar y filtrar información financiera a otra tienda Magento comprometida.
Conexión con operaciones previas
El desarrollo se produce cuando el gobierno ruso acusó a seis personas por usar malware skimmer para robar información de pagos y tarjetas de crédito de tiendas de comercio electrónico extranjeras al menos desde finales de 2017.
Los sospechosos son Denis Priymachenko, Alexander Aseyev, Alexander Basov, Dmitry Kolpakov, Vladislav Patyuk y Anton Tolmachev. Recorded Future News informó que los arrestos se realizaron hace un año, citando documentos judiciales.
«Como resultado, los miembros del grupo de atacantes informáticos se apoderaron ilegalmente de información sobre casi 160.000 tarjetas de pago de ciudadanos extranjeros y luego las vendieron a través de sitios web ocultos», dijo la Fiscalía General de la Federación de Rusia.