Кампанию назвали StyleSmuggler, и она продолжает серию атак на интернет-магазины, которые в октябре заканчивались скиммерами на страницах оплаты. Здесь схема другая: цель не только украсть данные карт, но и закрепиться на сервере.
Всё начинается с CVE-2026-75650 в Magento и Adobe Commerce. Через неё на хост попадают веб-шеллы и дропперы — серверные инструменты, которые дают постоянный доступ и позволяют доставлять полезную нагрузку позже. Финальная полезная нагрузка — PSK Agent RAT, который даёт оператору удалённое управление.
Зачем им DNS
Интересная деталь — обратная связь. Операторы используют DNS-запросы, чтобы понять, сработала ли эксплуатация на конкретном сайте. Это дешевле и незаметнее, чем ждать ответа по HTTP, и позволяет быстро отсеять неудачные цели, не поднимая шума.
География жертв — Западная Европа, Северная Америка и Азиатско-Тихоокеанский регион. Для владельцев магазинов это означает не только риск утечки данных клиентов, но и риск того, что их инфраструктуру будут использовать как промежуточную точку в других атаках.
Что делать
Adobe выпустила hotfix VULN-39341 — его стоит поставить в первую очередь. Дальше — обычная, но трудоёмкая гигиена: искать в файловой системе и в cron-задачах следы веб-шеллов, сверять контрольные суммы ядра Magento с эталоном, проверять журналы на обращения к известной инфраструктуре кампании.
Отдельно стоит перевыпустить ключи, которые могли быть доступны с сервера: доступ к админке, интеграции с платежами, API-токены. И проверить, не появились ли в магазине новые администраторы или задачи, которых вы не создавали.
The campaign is called StyleSmuggler, and it continues a run of attacks on online stores that in October ended with skimmers on checkout pages. Here the scheme is different: the goal is not only card data but a foothold on the server.
It starts with CVE-2026-75650 in Magento and Adobe Commerce. Through it, web shells and droppers land on the host — server-side tooling that provides persistent access and lets operators deliver payloads later. The final payload is the PSK Agent RAT, giving the operator remote control.
Why DNS
An interesting detail is the feedback loop. The operators use DNS queries to learn whether exploitation worked on a given site. That is cheaper and quieter than waiting for an HTTP response, and it lets them drop failed targets quickly without raising noise.
The victims are spread across Western Europe, North America and Asia-Pacific. For store owners this means not only the risk of customer data leaking but the risk of their infrastructure being used as a hop in other attacks.
What to do
Adobe has shipped hotfix VULN-39341, which should come first. After that comes ordinary but laborious hygiene: look for web shells in the filesystem and in cron jobs, compare core Magento file hashes against a known-good copy, and check logs for requests to the campaign’s known infrastructure.
It is also worth reissuing credentials that were reachable from the server: admin access, payment integrations, API tokens. And check whether new administrators or scheduled tasks have appeared that you did not create.