"StyleSmuggler"라는 이름의 제로데이(패치가 없는 신규) 취약점이 Magento와 Adobe Commerce 전 버전에서 발견되어 현재 실제 공격에 악용되고 있습니다. 공격자는 이 취약점을 이용해 서버에 Linux 백도어(숨겨진 원격 제어 악성 프로그램)를 심고, 30분마다 자동 실행되도록 설정해 지속적인 접근권을 유지합니다. 악성 프로그램은 정상적인 시스템 프로세스나 NTP(인터넷 시간 동기화) 트래픽으로 위장해 탐지를 피합니다. 글 작성 시점 기준으로 Adobe는 아직 보안 패치를 배포하지 않았으며, 임시 조치로 GraphQL 기능을 비활성화할 것을 권고하고 있습니다. 전 세계 16만 개 이상의 웹사이트가 Magento를 사용 중이어서 피해 범위가 매우 클 수 있습니다.
Magento 및 Adobe Commerce 전 버전에 영향을 미치는 제로데이 취약점 'StyleSmuggler'가 공개되었으며, 9월 4일부터 실제 공격에 악용되어 Linux 기반 백도어가 배포되고 있다.
공격 성공 시 서버에 Rust 기반 백도어가 설치되고 30분 주기 크론 작업으로 지속 유지된다. 피해 서버는 원격 명령 실행에 노출되며, 16만 개 이상의 Magento 운영 사이트가 위험에 처해 있다.
Magento 템플릿 시스템의 PHP 코드 인젝션(삽입) 취약점을 악용해 가짜 '결제 실패' 이메일을 생성, 이를 통해 임의 코드를 실행한다. 패치가 아직 존재하지 않는 제로데이 상태다.
Adobe가 패치 개발 중임을 확인했으나 배포 일정을 미공개한 상태다. 보안업체 Sansec은 즉시 GraphQL 비활성화, Magento 자격증명 교체, 의심 프로세스 및 크론 항목 모니터링을 권고하고 있다.
패치 배포 전까지 GraphQL을 즉시 비활성화하고, 'kworker/u:8:0' 또는 'fc-cache' 위장 프로세스와 비정상 크론 항목, 'Payment Transaction Failed Reminder' 이메일 급증 여부를 점검해야 한다.
본문
"StyleSmuggler"라고 명명된 제로데이 취약점이 Magento 및 Adobe Commerce 전 버전에 영향을 미치며, 현재 백도어 배포를 위한 공격에 실제로 악용되고 있다.
최초 악용 사례는 9월 4일, 최신 보안 업데이트가 적용된 대상 시스템에서 기록되었다.
이커머스 보안 전문업체 Sansec에 따르면, Adobe Enterprise Support는 오늘 이른 시간 수정 작업 중임을 확인했으나 배포 일정은 밝히지 않았다.
Magento는 Adobe가 개발한 인기 오픈소스 이커머스 플랫폼으로, 상위 100만 개 사이트 중 1만 4,000개를 포함해 전 세계 16만 개 이상의 웹사이트에서 사용되고 있다.
Linux 백도어
Sansec이 실제 환경에서 관찰한 익스플로잇은 Magento의 템플릿 시스템을 PHP 코드 인젝션(삽입)을 통해 악용하여 가짜 "결제 실패" 이메일을 생성하고, 이를 통해 코드 실행을 유발한다.
성공적으로 익스플로잇이 이루어지면 소형 Rust 기반 백도어가 백그라운드 프로세스로 설치되며, [kworker/u:8:0]으로 위장한다. 최신 버전은 fc-cache로 위장하여 ~/.cache/fontconfig/fc-cache 경로에 복사된다.
Sansec 연구원들에 따르면, 공격자는 지속성 확보를 위해 30분마다 반복 실행되도록 설정된 크론(cron) 작업도 추가한다.
Sansec이 추가적인 후속 활동을 관찰하지는 못했으나, 해당 악성 프로그램은 원격 인프라와 통신하여 명령을 수신할 수 있다.
연구원들은 백도어의 초기 샘플이 C2(명령 및 제어) 주소와의 통신에 TLS/WebSocket을 사용했으나, 최신 버전은 트래픽을 NTP(Network Time Protocol, 인터넷 시간 동기화 프로토콜)로 위장한다고 밝혔다.
최신 버전은 UDP 패킷을 123번 포트로 전송하고, 시간 동기화 인프라와 유사한 호스트명을 사용해 악성 트래픽을 NTP로 위장하고 방화벽을 우회한다.
또한 해당 악성 프로그램은 ipify, icanhazip, ident.me, ipinfo.io 등의 서비스를 이용해 서버의 공인 IP를 확인하고, Linux의 TracerPid 값을 검사해 추적 여부를 탐지한다. 추적이 감지되더라도 악성 프로그램은 설치되지만, 비콘(원격 통신) 동작은 수행하지 않는다.
Sansec은 Magento의 "Payment Transaction Failed Reminder" 이메일이 예상치 못하게 급증할 경우 악용의 징후일 수 있다고 밝히며, 'kworker' 또는 'fc-cache' 프로세스, 의심스러운 크론 항목, 임시 파일에 대한 모니터링도 권고했다.
침해가 의심될 경우 Magento 자격증명을 즉시 교체할 것을 권장한다.
이 글 작성 시점을 기준으로 Adobe는 StyleSmuggler에 대한 수정 패치를 배포하지 않은 상태이나, 예정된 다음 보안 릴리스는 내일인 9월 8일이다.
수정 패치가 제공될 때까지 Sansec은 완화 조치로 웹사이트 관리자들이 GraphQL을 비활성화할 것을 권고하고 있다.
BleepingComputer는 StyleSmuggler 수정 패치가 내일 배포될 예정인지 Adobe에 문의했으나, 아직 답변을 받지 못했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
