Группировка CartSiphon похищала данные заказов клиентов из OpenCart
CartSiphon оценивается как китайскоязычная финансово мотивированная группировка, которая специализируется на краже данных заказов клиентов интернет-магазинов. В расследованном инциденте злоумышленники получили доступ через скомпрометированное стороннее расширение OpenCart.
Загрузчик на PHP принимал шестнадцатерично закодированную полезную нагрузку в заголовке HTTP и динамически выполнял её. Модуль загрузки скачивал из репозитория GitHub оператора имплант Go VShell php-fpmc, соответствующий архитектуре системы. Запустившись, имплант удалял свою копию с диска и маскировался под процесс Linux kworker/7:2.
Для закрепления операторы добавляли задания cron, которые выполнялись при перезагрузке и каждые пять минут, а также записывали данные в профили оболочки. Они применяли меры против криминалистического анализа: подавляли историю командной строки и устанавливали более ранние временные метки файлов. VShell связывался по WebSocket с использованием TLS, а резервным каналом служил TCP. Для связи применялись PSK и шифрование ChaCha20. При анализе извлечённых бинарных файлов исследователи обнаружили три домена C2. Один из зафиксированных адресов: 89.125.244.131.
Основным механизмом кражи данных служил неавторизованный PHP-эндпоинт. Он выполнял запросы к таблице oc_order в OpenCart и возвращал заказы клиентов в формате JSON. Восстановленные инструменты также включали зашифрованные интерфейсы управления базами данных, функцию экспорта заказов WooCommerce и PHP-вебшеллы, активируемые заголовками. Данные заказов могли содержать имена, контактные данные, адреса для выставления счетов и доставки, сведения о покупках и IP-адреса, а в некоторых случаях и платёжные токены. Загрузчик на Go поддерживал передачу данных в Storj, Amazon S3 и Google Cloud Storage.
Инструментарий оператора, по оценке авторов отчёта, указывает на возможности за пределами компрометации CMS и кражи данных. В него входили средства локального повышения привилегий в Linux, нацеленные на уязвимости Dirty Frag (CVE-2026-43284), Fragnesia (CVE-2026-46300) и паттерн эксплуатации, аналогичный PwnKit. Также в наборе был многофункциональный инструмент для сканирования, создания туннелей и перемещения внутри компании. Отдельный бинарный файл был нацелен на уязвимость удалённого выполнения кода до аутентификации в Zimbra Collaboration Suite (CVE-2026-73570).
В отчёте описаны троянизированные плагины для OpenCart и WordPress/WooCommerce, что указывает на активность оператора на нескольких платформах CMS. По имеющимся данным, активность кластера наблюдалась до середины сентября. По состоянию на 1 октября о последующей активности не сообщалось.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
