마젠토·어도비 커머스 제로데이 공격…로그인 없이 서버 장악

마젠토 오픈소스와 어도비 커머스를 사용하는 온라인 쇼핑몰을 겨냥한 새로운 제로데이 공격이 실제 발생했다.

네덜란드 전자상거래 보안기업 산섹(Sansec)은 9월 5일 해당 취약점을 '스타일스머글러(StyleSmuggler)'로 명명하고 공격 사실을 공개했다. 최초 공격은 9월 4일부터 확인됐다.

이번 취약점은 공격자가 관리자 계정이나 로그인 과정 없이 쇼핑몰 서버에서 악성코드를 실행할 수 있다는 점이 가장 위험하다. 산섹은 마젠토 오픈소스 2.4.7, 2.4.8, 최신 버전인 2.4.9에서도 공격을 재현했다. 기존 보안 업데이트를 모두 적용한 2.4.6-p15 환경에서도 실제 피해가 발생했다.

마젠토 기능 악용해 악성코드 실행

공격자는 마젠토가 생성하는 로그나 오류 관련 파일에 PHP 악성코드를 심은 뒤 'Payment Transaction Failed Reminder' 이메일 처리 기능을 이용해 이를 실행했다.

사용자가 이메일을 직접 열지 않아도 서버가 이메일 내용을 만드는 과정에서 악성코드가 실행될 수 있다.

공격에 성공하면 서버에는 백도어(backdoor, 비밀 원격 접근 통로)가 설치됐다. 악성 프로세스는 리눅스 정상 프로세스처럼 보이는 '[kworker/u:8:0]' 이름으로 위장했으며, 5분마다 다시 실행되도록 크론(cron, 예약 실행) 작업도 등록했다.

실제 피해 서버에서 세션 접근 확인

실제 침해사고를 조사한 디스렉스 그룹(Disrex Group)은 마젠토 오픈소스 2.4.8과 2.4.7-p2를 사용하는 쇼핑몰 두 곳에서 침해를 확인했다.

한 피해 서버에서는 악성코드가 마젠토의 레디스(Redis) 세션 저장소에 접근한 흔적도 발견됐다. 다만 조사된 서버에서는 데이터 외부 유출이나 결제정보 탈취용 악성코드, 추가 관리자 계정 생성은 확인되지 않았다.

비정상적인 결제 실패 이메일도 공격 징후로 나타났다. 이메일에 '{{var ...}}' 형태의 처리되지 않은 문구가 그대로 표시되거나 결제금액이 0으로 나타난 경우 서버 점검이 필요하다.

공식 패치 아직 없어…서버 침해 여부부터 확인해야

9월 7일 현재 어도비(Adobe)는 스타일스머글러 취약점에 대한 CVE 번호나 공식 패치를 공개하지 않았다.

산섹은 공식 패치가 나오기 전까지 가능한 환경에서는 GraphQL을 임시 비활성화할 것을 권고했다.

운영자는 '[kworker/u:8:0]' 형태의 비정상 프로세스, 사용자 홈 디렉터리의 '.gvfsd' 관련 파일, 의심스러운 크론 작업, 마젠토의 var/report와 var/log/system.log 등을 확인해야 한다.

침해 흔적이 발견되면 사용자 세션을 초기화하고 관리자 비밀번호와 결제 서비스 API 키 등 주요 인증정보도 변경해야 한다.

어도비의 다음 정기 보안 업데이트는 9월 8일로 예정돼 있지만 이번 취약점 패치가 포함되는지는 아직 확인되지 않았다.