Хакери заразили 953 онлайн-магазини JavaScript, що обходить сканери, переважно на Magento

Невідомий загрозливий актор заразив 953 онлайн-магазини, більшість із яких працюють на Magento, у кампанії, активній із липня 2025 року, повідомляє Sansec. Зловмисники вставляють код JavaScript-завантажувача в блоки CMS Magento, який віддає шкідливий код лише реальним відвідувачам, приховуючи його від сканерів безпеки.

Деталі кампанії

Sansec повідомляє, що шкідливий код розміщено в таблиці бази даних cms_block Magento, яка відображає статичний вміст на сторінках вітрини. Коли покупець відкриває скомпрометований сайт, блок CMS відображається і запускає код, контрольований зловмисниками. Найновіший домен завантажувача розміщено за Cloudflare і відповідає лише на запити скриптів від реальних відвідувачів заражених магазинів. Sansec знайшла deepveindrilling[.]com у блоках CMS 83 онлайн-магазинів із моменту реєстрації домену 6 жовтня 2026 року. За час спостережень помічено п'ять доменів: manulfie[.]click із липня 2025 року, neswnsssn[.]click із грудня 2025 року, lanhd6549tdhse[.]top із березня 2026 року, additionalver[.]com із червня 2026 року та deepveindrilling[.]com із жовтня 2026 року.

Версії завантажувача та фільтрація трафіку

Помічено дві версії завантажувача. Одна зберігає своє корисне навантаження в localStorage браузера, тож збережений код може запускатися знову під час наступних відвідувань, навіть якщо зовнішній домен недоступний. Друга додає перевірки відбитків браузера, щоб відфільтровувати ботів і сканери безпеки. Ранні варіанти також використовували Keitaro як систему розподілу трафіку, а запит до additionalver[.]com повертав "QWE=123;" та cookie, що позначає відвідувача на 24 години. Версія deepveindrilling[.]com відмовляється від Keitaro і вбудовує фільтрацію ботів безпосередньо в сам завантажувач.

Початковий доступ і захист

Sansec оцінює, що 471 магазин Magento було заражено через уразливість PolyShell, CVE-2026-48356. Ще в 102 магазинах файли було завантажено через PolyShell або SessionReaper, CVE-2025-54236. В одному випадку магазин Magento 2.4.7-p1 мав вебшелли PolyShell, замасковані під зображення PNG, і досі не мав APSB26-73, виправлення PolyShell від Adobe. Інший магазин Magento 2.4.7-p10 без пропущених основних виправлень було скомпрометовано, щоб додати несанкціонований обліковий запис адміністратора, а потім використати його для впровадження коду. Власникам сайтів радять перевірити підозрілі облікові записи та неочікувані блоки CMS у таблицях cms_block і cms_page, тримати сайти оновленими та встановлювати надійні паролі.

Контекст PHP2Shell

Це розкриття з'являється на тлі масових спроб експлуатації PHP2Shell, двох критичних уразливостей PHP CVE-2026-109618 і CVE-2026-109619. Дослідник Perplexity Адель Карімі зафіксував, імовірно, першу успішну експлуатацію цих недоліків у реальних умовах для виконання команд оболонки на серверах-приманках. Спостережені команди використовували wget, curl або PHP CLI для завантаження корисних навантажень із 162.35.99[.]94:80, і поки що артефактів другого етапу не спостерігалося.

Джерела: The Hacker News