Istraživači sigurnosti nedavno su otkrili sofisticirani napad na lanac snabdijevanja usmjeren na platforme za e-trgovinu putem 21 široko korišćene aplikacije.
Backdoor, koji je ostao neaktivan šest godina nakon početne injekcije između 2019. i 2022. godine, nedavno se aktivirao, pružajući napadačima potpunu kontrolu nad pogođenim serverima.
Maliciozni softver djeluje putem obmanjujućeg mehanizma provjere licence ugrađenog u ekstenzije popularnih dobavljača.
Iako je postavljen prije nekoliko godina, kod je počeo pokazivati znakove aktivne eksploatacije tek od 20. aprila 2025. godine, demonstrirajući alarmantan nivo strpljenja i strateškog planiranja od strane hakera koji stoje iza kampanje .
Istraživači Sanseca su identifikovali backdoor u više aplikacija tri glavna dobavljača: Tigren, Meetanshi i Magesolution (MGS).
Četvrti dobavljač, Weltpixel, također bi mogao biti kompromitovan, iako istražitelji još nisu potvrdili da li je sama kompanija napadnuta ili su određene trgovine koje koriste njihove ekstenzije pojedinačno ciljane.
Razmjere napada su značajne, a sigurnosni stručnjaci procjenjuju da između 500 i 1000 e-trgovina trenutno koristi kompromitovani softver.
Ova široko rasprostranjena distribucija naglašava razorni potencijalni napada na lanac snabdijevanja da utiču na brojne organizacije putem pouzdanih dobavljača softvera.
Mehanizam infekcije
Tehnička implementacija backdoora se zasniva na falsifikovanom sistemu za verifikaciju licenci koji se nalazi u datotekama pod nazivom License.php ili LicenseApi.php.
U srži ranjivosti je funkcija adminLoadLicense, koja izvršava proizvoljni kod: –
protected function adminLoadLicense($licenseFile)
{
// ...
$data = include_once($licenseFile);
// ...
}Ova funkcija omogućava napadačima da ubrizgaju maliciozni kod putem parametra $licenseFile, kojim mogu manipulisati pomoću funkcije adminUploadLicense.
Dok starije verzije (2019) nisu zahtijevale autentifikaciju, kasnije iteracije su implementirale verifikaciju korišćenjem čvrsto kodiranih kontrolnih suma i vrijednosti soli jedinstvenih za svakog dobavljača.
Izvor: CyberSecurityNews
