Sansec 警告：Magento StyleSmuggler 零時差漏洞遭利用，部署 Linux 後門

StyleSmuggler 攻擊鏈與 Linux 後門酬載

Sansec 的安全研究人員記錄了一個他們稱為「StyleSmuggler」的零時差漏洞，影響所有版本的Magento 與 Adobe Commerce，且正被用於進行中的攻擊中以安裝 Linux 後門。首次觀察到的漏洞利用發生於 9 月 4 日，受害目標已執行當時可取得的最新安全性更新，該行動透過 Magento 的範本系統注入 PHP 程式碼，產生一封偽造的「付款失敗」電子郵件，藉此觸發遠端程式碼執行。

在成功入侵後，攻擊者會植入一個以 Rust 撰寫的小型後門，並以背景程序形式執行。較早的樣本偽裝成「[kworker/u:8:0]」，較新的版本則偽裝成「fc-cache」，並複製到 `/.cache/fontconfig/fc-cache`。Sansec 也觀察到攻擊者新增一個設定為每 30 分鐘執行一次的 cron 工作，以維持持久存取。

命令與控制行為及躲避偵測的手法

根據 Sansec 的說明，該惡意軟體能夠與遠端基礎設施通訊並接收指令，雖然目前尚未觀察到後續活動。較早的變種透過 TLS／WebSockets 連線至命令與控制位址，較新的版本則將其流量偽裝成網路時間協定（NTP），透過 UDP 封包發送至 123 連接埠，並使用類似時間同步基礎設施的主機名稱，這項設計旨在規避防火牆。

該後門也會透過 ipify、icanhazip、ident.me 與 ipinfo.io 等服務解析被入侵伺服器的公開 IP，並檢查 Linux 的 TracerPid 值以偵測鑑識追蹤。若偵測到追蹤正在進行，惡意軟體仍會安裝，但會抑制其 beacon 通訊。

偵測指標與 Adobe 的回應

Sansec 建議防禦者留意 Magento「Payment Transaction Failed Reminder」電子郵件是否出現異常激增、監控是否有可疑的「kworker」或「fc‑cache」程序、稽核 cron 排程項目，並檢視暫存檔案；若懷疑遭到入侵，應立即更新憑證。Adobe Enterprise Support 於 9 月 7 日稍早確認正在研擬修補方式，但未提供釋出時程，截至報告發布時仍未發布任何修補程式。