953 интернет-магазина заражены JavaScript, который прячется от сканеров

Голландская компания Sansec, специализирующаяся на безопасности электронной коммерции, обнаружила кампанию, в ходе которой неизвестная группа заразила 953 интернет-магазина — в основном работающих на Magento. Атаки продолжаются с июля 2025 года.

Суть проста: в страницы магазина добавляется небольшой фрагмент кода, который при визите покупателя подгружает вредоносный JavaScript через CMS-блоки Magento. «Когда вы заходите, этот код заставляет ваш браузер спросить у сервера группы, что делать дальше, — поясняют в Sansec. — Сервер сначала проверяет, настоящий ли вы покупатель или сканер безопасности, так что сканеры не получают ничего».

Как это устроено

Загрузчик размещается в таблице базы данных cms_block, из которой Magento подставляет статический контент на витрину. Когда покупатель открывает заражённую страницу, блок отрисовывается — и запускается код злоумышленников. Последний домен загрузчика скрыт за Cloudflare и отвечает только на запросы реальных посетителей.

Замечены две версии загрузчика. Первая сохраняет полезную нагрузку в localStorage браузера, чтобы код выполнялся при повторных визитах даже после отключения внешнего домена. Вторая добавляет проверку отпечатка браузера, отсеивая ботов и сканеры. Что представляет собой финальная нагрузка, пока неизвестно.

За время кампании сменилось пять доменов — от manulfie[.]click (июль 2025) до deepveindrilling[.]com (октябрь 2026), который Sansec нашла в CMS-блоках 83 магазинов. Ранние версии использовали рекламный трекер Keitaro как систему распределения трафика: запрос к additionalver[.]com с десктопного Windows возвращал QWE=123; — безобидную строку, лишь ставящую cookie на сутки. В свежем домене Keitaro убран, а логика фильтрации встроена прямо в загрузчик.

Как проникают

По оценке Sansec, 471 магазин был заражён через уязвимость PolyShell (CVE-2026-48356), ещё 102 — через PolyShell или SessionReaper (CVE-2025-54236). В одном случае на Magento 2.4.7-p1 веб-шеллы PolyShell маскировались под PNG-изображения в каталоге pub/media/custom_options/quote/; магазин до сих пор не установил исправление Adobe APSB26-73. В другом магазин с полностью актуальными патчами (Magento 2.4.7-p10) взломали через поддельную учётную запись администратора.

Владельцам советуют проверять сайты на подозрительные аккаунты и неожиданные записи в таблицах cms_block и cms_page, своевременно обновляться и использовать надёжные пароли.

Источник: The Hacker News