CosmicSting-Attacke auf Adobe Commerce Tausende Online-Shops mit Adobe Commerce gehackt

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Neue Untersuchungen von Sanstec ergeben, dass mithilfe der Sicherheitslücke CosmicSting, die bereits im Sommer entdeckt wurde, bisher mehr als 4.000 Online-Shops gehackt wurden.

Wer bei seinem Online-Shop auf Adobe Commerce, ehemals Magento setzt, sollte überprüfen, ob er von der Sicherheitslücke CosmicSting betroffen ist.

CosmicSting ist seit Monaten aktiv

Kriminelle haben verschiedene Shops angegriffen. Das Sicherheitsunternehmen Sanstec hat die Sicherheitslücke CVE-2024-34102, die sich hinter den CosmicSting-Angriffen verbirgt, bereits im Juni gefunden. Die Angriffe haben begonnen, große Handelsketten zu treffen. Damals warnte das Sansec Forensics Team, CosmicSting würde 75 Prozent der Adobe Commerce Stores bedrohen. Einem neuen Forschungsbericht zufolge ist nun klar, dass fünf Prozent aller Adobe Commerce und Magento Shops gehackt wurden.

Insgesamt konnten die Hacker in 4.275 Online-Shops eindringen. CosmicSting ermöglicht Angreifern das Auslesen beliebiger Dateien, wodurch sie den geheimen Verschlüsselungsschlüssel von Magento/Adobe Commerce stehlen können. Mit diesem Schlüssel lassen sich JSON Web Tokens (JWT) erzeugen, die vollen administrativen API-Zugriff gewähren. Die Magento REST API bietet zahlreiche Endpunkte, die Angreifer missbrauchen können, zum Beispiel für betrügerische Bestellungen oder den Diebstahl personenbezogener Daten (PII). Besonders attraktiv sind jedoch die Endpunkte /V1/cmsBlock, wie aus den jüngsten Angriffen hervorgeht. Händler nutzen CMS-Blöcke häufig, um Informationen auf ihren Seiten ohne Entwickler oder erneute Bereitstellung zu aktualisieren. CosmicSting wird verwendet, um den Verschlüsselungsschlüssel aus der Datei "app/etc/env.php" zu lesen.

Warum so viele Online-Shops gehackt wurden

Als Adobe am 8. Juli den Schweregrad als kritisch einstufte, hatten die automatisierten Angriffe laut Sanstec bereits begonnen und Tausende von geheimen Kryptoschlüsseln waren gestohlen. Als die Shop-Betreiber ihre Systeme aktualisierten, wurden die vorhandenen geheimen Schlüssel nicht automatisch ungültig gemacht, sodass die Shops anfällig für unbefugte Änderungen waren. Zwar gab Adobe eine Anleitung heraus, wie die alten Schlüssel manuell entfernt werden können, doch nicht jeder Händler befolgte dies sofort.

Nach wie vor überwacht Sansec nach eigenen Angaben das Internet auf neue CosmicSting-Angriffsmuster. Bislang konnten die Analysten Dutzende Domains und Server sammeln, die in die Angriffskampagnen verwickelt sind. Das Team von Sansec schätzt, dass mindestens acht verschiedene Hackergruppen aktiv sind.

Das können Nutzer von Adobe Commerce/Magento tun

Die alleinige Aktualisierung der Software ist unzureichend. Händler müssen die offizielle isolierte Lösung anwenden. Da der gestohlene Verschlüsselungsschlüssel es Angreifern weiterhin ermöglicht, Web-Tokens zu generieren, sollten betroffene Händler ihren Verschlüsselungsschlüssel als kompromittiert betrachten. Adobe bietet eine Funktion zur Änderung des Verschlüsselungsschlüssels und zur erneuten Verschlüsselung bestehender Geheimnisse. Wichtig ist jedoch, dass das Erzeugen eines neuen Schlüssels den alten Schlüssel nicht ungültig macht. Daher wird empfohlen, den alten Schlüssel manuell in der Datei "app/etc/env.php" zu aktualisieren.

Zusätzlich sollten Händler ein Audit-Log für CMS-Blöcke einrichten, um Änderungen zu überwachen. Dazu kann eine Tabelle für Log-Einträge erstellt und ein Trigger eingerichtet werden, der bei jeder Aktualisierung eines CMS-Blocks eine Protokollierung durchführt. Händler sollten regelmäßig verdächtige Aktivitäten in ihren CMS-Blöcken überprüfen und verdächtige neue Inhalte oder Änderungen untersuchen. Bekannte bösartige Domains und IP-Adressen, die mit dieser Angriffskampagne in Verbindung stehen, umfassen unter anderem yotpont.com, registertime.net, staticforce.org, quantlive.net, ruleslaw.org sowie mehrere IP-Adressen, die von 82.202.165.8 bis 82.202.165.96 reichen.

(ID:50102489)