Ha transcurrido un año desde que una debilidad crítica en el gestor de contenidos Magento ha sido solucionada, sin embargo, en entornos de producción la vulnerabilidad aún está en explotación, advierte el investigador Denis Sinegubko.

A la fecha, el equipo de desarrollo de Magento liberó el parche (SUPEE-5344) pero después de 12 meses, 98 000 clientes siguen sin aplicarlo.

Esto ha obligado al equipo de desarrollo de Magento a que, de manera urgente, notifique través de correo electrónico a los usuarios para aplicar el parche de forma inmediata.

Evidentemente, y si esto no fuera suficiente, los atacantes siguen desarrollando malware para explotar esta vulnerabilidad e insertar código al archivo principal de Magento. En un intento de camuflaje con un parche legítimo se inserta el siguiente código.

El malware permite al atacante crear usuarios con privilegios administrativos para poder robar a los clientes información de tarjetas bancarias así como sus credenciales de acceso.

Esto último permite a los atacantes ingresar a las cuentas de los clientes y extraer más datos, como direcciones de facturación y de envío; y pueden ser usados para robar cuentas en otros sitios o servicios, ya que muchos usuarios reciclan sus contraseñas. 

Los ataques también pueden ejecutar código PHP arbitrario en el servidor, cambiar los permisos de todos los archivos de Magento y borrar aquellos archivos que estén disponibles de forma pública en los cuales los datos (cifrados) han sido asegurados.

Ataques de este tipo han sucedido desde hace tiempo, los ladrones de tarjetas de crédito que utilizan Magento se están volviendo populares.

"El ecosistema de malware para Magento está madurando y atrae cada vez a más atacantes, quienes además incluyen trucos nuevos y ya probados provenientes de gestores de contenidos como WordPress o Joomla", dijo Sinegubko. 

Los sitios que utilizan Magento están siendo probados contra vulnerabilidades y atacados con fuerza bruta para tratar de obtener las credenciales de administración. También se ha notificado de intentos de irrumpir en las instalaciones de Magento por medio de otros gestores de contenido comprometidos que comparten la misma cuenta de servidor. 

El investigador aconsejó a los administradores de tiendas Magento aplicar los parches y actualizaciones de forma regular, monitorear la integridad de los archivos, revisar el nivel de privilegios de los usuarios (borrar aquellos que no sean reconocidos) y cambiar las contraseñas de todos los usuarios de administración.