Уязвимый интернет-магазин мог стать скрытым прокси с постоянным доступом для атакующих. Imperva восстановила цепочку заражения Magento и Adobe Commerce через StyleSmuggler. Во время реальных атак злоумышленники доставляли троян PSK Agent, способный выполнять команды на сервере, а в части эпизодов оставляли дополнительную PHP-оболочку для удалённого управления.
Кампанию наблюдали с 9 по 13 сентября 2026 года в Западной Европе, Северной Америке и Азиатско-Тихоокеанском регионе. Imperva выделила пять групп похожих запросов с небольшого числа IP-адресов. Ссылка на один загрузочный скрипт встретилась 96 раз в 12 вариантах вредоносного PHP-кода. Показатели описывают наблюдаемый трафик, а не число взломанных магазинов.
Точкой входа стала ранее раскрытая StyleSmuggler, уязвимость CVE-2026-75650 с оценкой Adobe 10,0 по CVSS 3.1. Ошибка в шаблонах допускает выполнение PHP-кода без авторизации. Adobe перечисляет Magento Open Source 2.4.6–2.4.9, Adobe Commerce 2.4.4–2.4.9 и Commerce B2B 1.3.3–1.5.3. Под угрозой были также более ранние сборки и производная Mage-OS, исправленная в версии 3.5.0.
Сначала запрос к /paypal/transparent/response/ содержал PHP-код, который Magento записывала в отчёт об ошибке под var/report/. Затем обращение к /graphql с параметрами styles заставляло движок шаблонов загрузить заражённый файл и выполнить команды. Код срабатывал при формировании письма о неудачном платеже. Учётная запись и действия покупателя не требовались.
Вредоносный PHP-код перебирал функции shell_exec, system, exec и иногда passthru, обходя блокировку вызовов. Команда curl передавала в bash сценарий psk_agent.sh размером 3313 байт. Скрипт искал каталог с правами на запись и запуск, скачивал компонент chi_down и запускал троян в фоновом режиме. При отсутствии curl загрузчик переключался на wget или Python.
Файл chi_down был обфусцированным 64-битным трояном на Go размером 10,5 МБ. PSK Agent умеет запускать команды, изучать сервер, передавать чужой трафик через SOCKS5 и связываться с оператором по шифрованным каналам. Механизмы закрепления рассчитаны на сохранение доступа после перезапуска. В связанных атаках процессы маскировали под kworker, fc-cache и chronyd.
Часть образцов отправляла DNS-запрос с именем сервера, сообщая о выполнении кода. В части атак в pub/media/ появлялась PHP-оболочка zer4.php на 910 строк. Команды шифровались по AES-256-CBC, а интерфейс FFI мог обходить запрет обычных функций запуска. Раньше через ту же уязвимость распространяли другой бэкдор на Rust. Загрузчик PSK Agent не распознал ни один движок VirusTotal в тесте Imperva.
Adobe 7 сентября выпустила исправление VULN-39341. Патч закрывает вход через StyleSmuggler, но не удаляет уже установленный троян, поэтому Adobe советует искать следы взлома и менять ключи и пароли. Октябрьская уязвимость BlockStrap (CVE-2026-103849) требует отдельного обновления. Подтверждений кражи платёжных данных именно в кампании PSK Agent пока нет.
