Февральская RCE-уязвимость в Magento набирает популярность у хакеров

Февральская RCE-уязвимость в Magento набирает популярность у хакеров

Февральская RCE-уязвимость в Magento набирает популярность у хакеров

В Sansec фиксируют рост количества атак на сайты, использующие Magento 2; в большинстве случаев злоумышленники пытаются через эксплойт CVE-2022-24086 внедрить на сервер бэкдор. Соответствующую уязвимость Adobe пропатчила еще в феврале.

Критическая CVE-2022-24086 возникла в CMS из-за неадекватной проверки входных данных. Эксплуатация не требует взаимодействия с пользователем и позволяет выполнить в системе сторонний код.

Все наблюдаемые атаки на интернет-магазины проводятся в интерактивном режиме и по схожим сценариям — посредством вредоносной инъекции в шаблон. Одна группа хакеров пытается внедрить на Magento-серверы трояна, способного обеспечить удаленный доступ; зловред пока не детектится на VirusTotal.

Такая атака начинается с создания нового клиентского аккаунта и оформления заказа (платеж при этом может не пройти). В итоге в таблице sales_order_address появляется запись с вредоносным кодом шаблона.

После ее расшифровки аналитики обнаружили URL, по которому происходит загрузка исполняемого файла Linux с именем 223sam.jpg. Вредонос, оказавшийся RAT-трояном, запускается в фоновом режиме как приложение CLI и работает только в памяти. В ходе исполнения он создает файл состояния lg000 и пытается подключиться к серверу (в Болгарии) для получения команд.

Этот RAT имеет полный доступ к базе данных и запущенным PHP-процессам. Если атакуемый сервер является частью кластера, трояна могут внедрить во все связанные ноды. Использование CLI для активизации зловреда, по мнению экспертов, делает эту атаку похожей на FishPig-кампанию, также нацеленную на установку бэкдоров.

Другие злоумышленники пытаются внедрить свой код в поле «Сумма НДС» (VAT) формы заказа. Вредонос содержит несколько команд; одна из них создает файл pub/media/health_check.php с простейшим бэкдором, исполняемым через eval().

Еще один популярный сценарий атаки использует подмену —generated/code/Magento/Framework/App/FrontController/Interceptor.php заменяется вредоносным кодом, запускающим на исполнение другой типовой eval-бэкдор. По замыслу этот PHP должен отрабатывать при запросе любой страницы Magento, однако наблюдатели заметили, что злоумышленники явно отдают предпочтение URI в качестве точки входа — POST /catalogsearch/result/?q=bestone.

Путин подписал Антифрод-2: что изменится для банков, операторов и абонентов

Президент России Владимир Путин подписал закон, который вводит новый пакет мер против телефонного и финансового мошенничества. Документ уже окрестили «Антифрод-2», и он заметно расширяет правила игры как для операторов связи и банков, так и для самих пользователей.

Одно из главных нововведений — возможность установить самозапрет на входящие международные звонки. Снять его можно будет только лично через МФЦ, чтобы мошенники не смогли отменить ограничение дистанционно.

Ещё одна мера касается банковских карт. Теперь один человек сможет оформить не более 20 карт, что должно осложнить использование подставных счетов в мошеннических схемах.

В законе появилась и так называемая красная кнопка. Через портал «Госуслуги» и мессенджер МАКС пользователи смогут быстро сообщать о попытках мошенничества.

Кроме того, в России создадут единую базу IMEI — уникальных идентификаторов мобильных устройств. В неё будут включаться сведения о разрешённых и запрещённых к использованию устройствах. Наполнять базу станут операторы связи и уполномоченные государственные органы.

Документ также ограничивает массовые обзвоны. Без согласия абонента они будут разрешены только в случаях, прямо предусмотренных законодательством. Для остальных информационных звонков потребуется согласие пользователя, а Минцифры сможет устанавливать предельную стоимость таких услуг.

Ещё одно важное изменение — механизм компенсации ущерба. Если банк или оператор связи не выполнили предусмотренные законом меры по предотвращению мошенничества, пострадавший сможет рассчитывать на возмещение убытков. Однако если организация соблюдала все требования, а человек добровольно перевёл деньги злоумышленникам, компенсация не предусмотрена.

Также закон устанавливает минимальный срок действия договора связи: расторгнуть его теперь можно будет не раньше чем через 90 дней после заключения. По мнению авторов инициативы, это должно сократить использование одноразовых сим-карт в преступных схемах.

Новый закон стал продолжением пакета антифрод-мер, принятого в России в 2025 году.

RSS: Новости на портале Anti-Malware.ru