Μια σοβαρή επίθεση backdoored extensions (επεκτάσεις) στην εφοδιαστική αλυσίδα, επηρέασε εκατοντάδες eshop που βασίζονται στο Magento.
Η παραβίαση αφορά 21 δημοφιλή plugins της πλατφόρμας, τα οποία χρησιμοποιούνται σε έως και 1.000 eshops, ανάμεσά τους και ένα που ανήκει σε πολυεθνική εταιρεία αξίας 40 δισεκατομμύρια δολάρια.
Το πρόβλημα εντοπίστηκε από την εταιρεία cybersecurity Sansec, η οποία διαπίστωσε ότι οι επηρεασμένες επεκτάσεις περιείχαν μία κρυφή «πίσω πόρτα» (backdoor). Αν και ο κακόβουλος κώδικας είχε εισαχθεί πριν από χρόνια, με ορισμένες περιπτώσεις να χρονολογούνται από το 2019, ενεργοποιήθηκε μόλις πρόσφατα, τον Απρίλιο του 2025. Αυτό επέτρεψε στους δράστες να αποκτήσουν πλήρη έλεγχο των καταστημάτων που προσβλήθηκαν από το κακόβουλο λογισμικό.
Newsroom
Η Sansec δήλωσε ότι η επίθεση ήταν άκρως συντονισμένη και επηρέασε επεκτάσεις από τρεις γνωστούς προμηθευτές: Tigren, Meetanshi και MGS. Μεταξύ των επηρεασμένων προσθέτων περιλαμβάνονται τα Tigren Ajaxsuite, Meetanshi FacebookChat και MGS GDPR. Εντοπίστηκε επίσης παραβιασμένη έκδοση του Weltpixel GoogleTagManager, ωστόσο δεν είναι σαφές αν η παραβίαση προήλθε από τον ίδιο τον προμηθευτή ή με άλλο τρόπο.
Οι δράστες έκρυψαν την «πίσω πόρτα» στα αρχεία ελέγχου άδειας χρήσης των επεκτάσεων (όπως το License.php) στο Magento. Ο κώδικας ενεργοποιείται όταν δεχθεί συγκεκριμένο αίτημα με ειδικά κλειδιά. Αν αυτά τα κλειδιά ταιριάξουν, οι επιτιθέμενοι μπορούν να χρησιμοποιήσουν απομακρυσμένα λειτουργίες διαχειριστή. Αυτό περιλαμβάνει τη μεταφόρτωση νέων αρχείων και την εκτέλεση κώδικα στον διακομιστή, ουσιαστικά δίνοντάς τους πλήρη πρόσβαση στο online store.
Η Sansec επιβεβαίωσε ότι τουλάχιστον σε μία περίπτωση, οι επιτιθέμενοι χρησιμοποίησαν αυτή την «πίσω πόρτα» για να εγκαταστήσουν ένα webshell, με το οποίο μπορούν να κλέψουν δεδομένα, να εισάγουν malware τύπου card skimming, να δημιουργήσουν λογαριασμούς διαχειριστή ή και άλλα.
Newsroom
Οι «πίσω πόρτες» κρύβουν κινδύνους - Ανησυχίες για την ασφάλεια των eshop
Η εταιρεία προτρέπει όσους χρησιμοποιούν τις συγκεκριμένες επεκτάσεις να ελέγξουν άμεσα τους διακομιστές τους και να επαναφέρουν αντίγραφα ασφαλείας, αν χρειαστεί. Το γεγονός ότι το κακόβουλο λογισμικό παρέμεινε ανενεργό για τόσα χρόνια και ενεργοποιήθηκε ξαφνικά, γεννά σοβαρές ανησυχίες για το πόσες ακόμη τέτοιες «πίσω πόρτες» μπορεί να υπάρχουν.
Η συγκεκριμένη περίπτωση επίθεσης δείχνει πως ακόμη και επεκτάσεις που θεωρούνταν ασφαλείς επί χρόνια, μπορούν να μετατραπούν σε απειλή όταν παραβιάζεται η εφοδιαστική αλυσίδα.
Για τους ιδιοκτήτες eshop, η χρήση εργαλείων τρίτων είναι συνηθισμένη, όμως αυτό δημιουργεί «παράθυρα» για σιωπηλές επιθέσεις και μακροχρόνιες ευπάθειες. Στην προκειμένη περίπτωση, το κακόβουλο λογισμικό παρέμεινε κρυφό για έξι χρόνια και ενεργοποιήθηκε ξαφνικά, θέτοντας σε κίνδυνο δεδομένα και την εμπιστοσύνη των πελατών.
Οι επιχειρήσεις eCommerce οφείλουν να δώσουν προτεραιότητα στους τακτικούς ελέγχους ασφαλείας, να επαληθεύουν την προέλευση των plugins που χρησιμοποιούν και να αποφεύγουν παλιά ή εγκαταλελειμμένα πρόσθετα. Αυτό είναι ιδιαίτερα σημαντικό για καταστήματα που χρησιμοποιούν το Magento, όπου η χρήση third-party extension είναι πολύ διαδεδομένη. Καθώς οι online πωλήσεις αυξάνονται, η ασφάλεια αυτών των εργαλείων δεν είναι πια προαιρετική, αλλά απαραίτητη για μια επιτυχημένη πορεία, χωρίς κρυφούς κινδύνους.
