Sansec araştırmacıları, 2019’dan bu yana sessiz kalan zararlı kodların nisan ayında etkinleştirildiğini ortaya çıkardı. Saldırganların, Magento platformuna ait 21 farklı eklentiyi arka kapılarla donatarak 500 ile 1.000 arasında e-ticaret sitesine sızdığı belirlendi. Bu siteler arasında, piyasa değeri 40 milyar doları bulan çok uluslu bir şirketin de yer aldığı öğrenildi.
Zararlı Kodlar Bilinçli Şekilde Gizlendi
Sansec tarafından yapılan açıklamaya göre, eklentilerdeki arka kapılar genellikle License.php ya da LicenseApi.php dosyalarına yerleştirildi. Kodlar, özel HTTP istekleriyle tetiklenerek sunucular üzerinde tam yetki sağlıyor. Bu yetkiler arasında kötü amaçlı yazılım yükleme, yeni yönetici hesabı oluşturma ve müşteri verilerini çalma gibi kritik işlemler bulunuyor. Sansec’in raporuna göre, saldırıya uğrayan eklenti sağlayıcıları şunlar:
- Tigren: Ajaxsuite, Ajaxcart, Ajaxlogin, Ajaxcompare, Ajaxwishlist, MultiCOD
- Meetanshi: ImageClean, CookieNotice, Flatshipping, FacebookChat, CurrencySwitcher, DeferJS
- MGS: Lookbook, StoreLocator, Brand, GDPR, Portfolio, Popup, DeliveryTime, ProductTabs, Blog
Ayrıca Weltpixel tarafından sunulan GoogleTagManager eklentisinin de etkilendiği belirtildi ancak arka kapının geliştirici kaynaklı olup olmadığı kesinlik kazanmadı.
Sansec, üç geliştiriciyle iletişime geçti. MGS herhangi bir geri dönüş yapmadı. Tigren, sunucularında bir ihlal olmadığını öne sürerek hâlâ arka kapılı eklentileri dağıtmaya devam ediyor. Meetanshi ise sunucu ihlalini kabul etti ancak eklentilerin tehlikeye atıldığını doğrulamadı. Öte yandan BleepingComputer, MGS’nin StoreLocator eklentisinde Sansec’in belirttiği arka kapının bulunduğunu doğruladı.
Sansec, bu eklentileri kullanan e-ticaret sitelerine kapsamlı bir sunucu taraması yapmalarını ve mümkünse temiz bir yedekten sitelerini geri yüklemelerini tavsiye etti. Arka kapının altı yıl boyunca gizli kalması ve yalnızca belirli bir tarihte etkinleştirilmesi, saldırganların uzun vadeli planlarını gözler önüne seriyor.
