Die Angriffe beginnen im Template-System von Magento. Über eine PHP-Code-Injektion erzeugen die Angreifer eine gefälschte E-Mail zum Thema “fehlgeschlagene Zahlung”, deren Verarbeitung die Codeausführung auslöst. Anschließend wird eine kompakte Backdoor in Rust als Hintergrundprozess eingerichtet.
Zur Tarnung gibt sich der Prozess in älteren Varianten als [kworker/u:8:0] aus. Neuere Versionen firmieren als fc-cache und kopieren sich nach ~/.cache/fontconfig/fc-cache. Für Persistenz legen die Angreifer laut den Sansec-Forschern zusätzlich einen Cron-Job an, der alle 30 Minuten ausgeführt wird.
Eine Anschlussaktivität hat Sansec bislang nicht beobachtet. Die Schadsoftware kann jedoch mit externer Infrastruktur kommunizieren und Befehle empfangen. Frühere Samples nutzten dafür TLS beziehungsweise WebSockets zur Kontaktaufnahme mit der Command-and-Control-Adresse, während neuere Varianten ihren Verkehr als Network Time Protocol maskieren.
Dazu senden sie UDP-Pakete an Port 123 und verwenden Hostnamen, die an Zeitsynchronisations-Infrastruktur erinnern – so wirkt der Datenverkehr wie NTP und passiert Firewalls leichter. Die öffentliche IP-Adresse des Servers ermittelt die Malware über Dienste wie ipify, icanhazip, ident.me und ipinfo.io. Zudem prüft sie den Linux-Wert TracerPid, um eine laufende Analyse zu erkennen: Ist ein Tracing aktiv, installiert sich die Backdoor dennoch, verzichtet aber auf die Kontaktaufnahme zum Steuerserver.
Als Hinweis auf eine Ausnutzung nennt Sansec eine unerwartete Häufung von Magento-Benachrichtigungen mit dem Betreff “Payment Transaction Failed Reminder”. Betreiber sollten außerdem auf Prozesse mit den Namen “kworker” oder “fc-cache”, auf auffällige Cron-Einträge und temporäre Dateien achten. Besteht der Verdacht einer Kompromittierung, empfehlen die Forscher, die Magento-Zugangsdaten zu erneuern.
Einen Patch für StyleSmuggler hat Adobe bislang nicht veröffentlicht. Die nächste geplante Sicherheitsveröffentlichung des Unternehmens steht für den 8. September an. BleepingComputer hat bei Adobe angefragt, ob eine Korrektur für StyleSmuggler Teil dieser Veröffentlichung sein soll; eine Antwort liegt bislang nicht vor. Bis zur Verfügbarkeit eines Fixes lautet die Empfehlung von Sansec, GraphQL zu deaktivieren.