Los delincuentes informáticos están apuntando a sitios web que utilizan la plataforma PrestaShop, aprovechando una cadena de vulnerabilidades previamente desconocidas para realizar la ejecución de código y potencialmente robar la información de pago de los clientes.

El equipo de PrestaShop emitió una advertencia urgente el viernes pasado, instando a los administradores de 300.000 tiendas que utilizan su software a revisar su postura de seguridad después de que se descubrieran ataques dirigidos a su plataforma.

El ataque parece afectar las versiones 1.6.0.10 o posteriores de PrestaShop y las versiones 1.7.8.2 o posteriores si ejecutan módulos vulnerables a inyección SQL, como el módulo Wishlist 2.0.0 a 2.1.0. Osea, las versiones 1.7.8.2 y posteriores no son vulnerables a menos que estén ejecutando un módulo o código personalizado que a su vez incluye una vulnerabilidad de inyección SQL y las versiones 2.0.0 a 2.1.0 del módulo Wishlist (BlockWishList) sí son vulnerables (se debe actualizar a 2.1.1).

La vulnerabilidad explotada activamente está siendo rastreada con el identificador CVE-2022-36408.

Detalles del ataque

El ataque comienza apuntando a un módulo o una versión anterior de la plataforma vulnerable a inyección SQL. El equipo de PrestaShop no ha determinado dónde existen estas fallas en este momento y advirtió que el compromiso también podría ser causado por un componente de terceros.

"Creemos que los atacantes se dirigen a tiendas que utilizan software o módulos obsoletos, módulos de terceros vulnerables o una vulnerabilidad aún por descubrir", explica el aviso de seguridad de PrestaShop.

Para realizar el ataque, los delincuentes envían una solicitud POST a un end-point vulnerable seguida de una solicitud GET sin parámetros a la página de inicio que crea un archivo "blm.php" en el directorio raíz. Este parece ser un web shell que permite a los actores de amenazas ejecutar comandos en el servidor de forma remota.

En muchos casos observados, los atacantes utilizaron esta shell para inyectar un formulario de pago falso en la página de pago de la tienda y robar los datos de la tarjeta de pago de los clientes. Después del ataque, los actores de amenazas remotas borraron sus rastros para evitar que el propietario del sitio se diera cuenta de que habían sido violados.

Actualización de seguridad

Si los atacantes no fueron diligentes con la limpieza de la evidencia, los administradores del sitio comprometido podrían encontrar entradas en los registros de acceso del servidor web en busca de señales de que estaban comprometidos.

Otros signos de compromiso incluyen modificaciones de archivos para agregar código malicioso y la activación del almacenamiento en caché MySQL Smarty, que sirve como parte de la cadena de ataque.

Esta característica está deshabilitada de forma predeterminada, pero PrestaShop ha visto evidencia de que los atacantes la habilitaron de forma independiente, por lo que la recomendación es eliminarla si no es necesaria.

Para hacer eso, ubique el archivo "config/smarty.config.inc.php" en su tienda y elimine las siguientes líneas:

Finalmente, se debe actualizar todos los módulos usados a la última versión disponible y aplique la actualización de seguridad de PrestaShop lanzada hoy, versión 1.7.8.7. Y, además se recomienda actualizar a BlockWishList 2.1.1.

Esta solución de seguridad fortalece el almacenamiento en caché de MySQL Smarty contra todos los ataques de inyección de código, para aquellos que desean continuar usando la función heredada.

Sin embargo, es importante tener en cuenta que si su sitio ya se vio comprometido, la aplicación de la actualización de seguridad no solucionará el problema.

Fuente: BC