Sansec stieß nach eigenen Angaben am 4. September um 22:40 UTC auf die Kampagne und konnte die Angriffskette innerhalb weniger Stunden auf frisch aufgesetzten Installationen nachvollziehen. Die Schwachstelle, die das Unternehmen StyleSmuggler nennt, erlaubt die Ausführung von Code aus der Ferne und betrifft die Magento-Versionen 2.4.7, 2.4.8 und 2.4.9. Dass auch Systeme mit den Patchständen von Juli und August 2026 erfolgreich attackiert wurden, macht die Lücke für Shop-Betreiber besonders unangenehm.
Technisch setzt der Angriff auf das Template-System von Magento auf: Über die Eigenschaft ‘styles’ lässt sich PHP-Code so einschleusen, dass er der Erkennung entgeht. Die erste Stufe besteht darin, einen Fehlerbericht zu erzeugen, in dem der Code hinterlegt wird. Zur Ausführung kommt er in der zweiten Stufe über eine E-Mail zu einer fehlgeschlagenen Zahlung.
„StyleSmuggler löst absichtlich Magentos Standard-E-Mail ‘Erinnerung: Zahlungstransaktion fehlgeschlagen’ aus. Unerwartete Häufungen dieser Nachrichten sind ein Anlass zur Untersuchung, auch wenn legitime abgelehnte Zahlungen dieselbe Benachrichtigung erzeugen können“, schreibt Sansec. Der Schadcode werde sowohl beim erneuten Versand der E-Mail als auch bei einem fehlgeschlagenen Zustellversuch ausgeführt. Eine Nutzerinteraktion ist für die Ausnutzung nicht nötig.
Die nachgeladene Hintertür ist in Rust geschrieben und verbindet sich mit einem Command-and-Control-Server, um dort auf Befehle zu warten. Zum Start der Angriffswelle am 4. September tarnte sie sich als Prozess ‘[kworker/u:8:0]’. Am 6. September beobachtete Sansec eine zweite Version, die sich als ‘fc-cache’ ausgab.
Auch bei der Kommunikation legt die Schadsoftware Wert auf Unauffälligkeit: Sie verpackt den Austausch mit dem C&C-Server als Antworten eines NTP-Servers. Übertragen werden dabei umfangreiche Informationen zum kompromittierten System — Agent-ID, Hostname und Benutzername, Speicher- und Festplattenauslastung, Betriebssystemversion, Laufzeit, Angaben zu Root-Rechten sowie die Version des Implantats. Vor dem ersten Kontakt zum Server ermittelt die Backdoor zudem die öffentliche IP-Adresse des Shops.
Einen Patch gibt es bislang nicht. Adobe veröffentlicht am 8. September im Rahmen seines monatlichen Patchdays planmäßig Updates; ob StyleSmuggler darin adressiert wird, ist derzeit unklar. SecurityWeek hat Adobe um eine Stellungnahme gebeten und will den Bericht bei einer Antwort ergänzen.