Magento: 953 tiendas online con un loader que evade los escáneres

Un grupo criminal ha comprometido 953 tiendas online desde julio de 2025, casi todas basadas en Magento (Adobe Commerce), insertando en sus páginas un pequeño loader JavaScript. La campaña la ha reconstruido la empresa de seguridad para el comercio electrónico Sansec, y la han recogido SecurityWeek, The Hacker News, Security Affairs e Infosecurity Magazine. Los medios coinciden en las cifras; los detalles técnicos que siguen proceden del análisis de Sansec, tal como lo cuentan SecurityWeek y Security Affairs.

El loader decide visitante por visitante si sirve el código malicioso: los navegadores automatizados y los escáneres de seguridad reciben una página limpia. Por eso todavía no se ha capturado el payload final. Security Affairs habla de una campaña de skimming; sin embargo, las fuentes no describen un robo de datos de pago en esta fase, y los payloads observados en el pasado remitían a dominios con temática de criptomonedas.

Cinco dominios en 15 meses

El grupo cambia de dominio cada pocos meses. Según la tabla de Sansec que publica Security Affairs:

Dominio	Primera detección en tiendas	Tiendas
manulfie.click	9 de julio de 2025	863
neswnsssn.click	12 de diciembre de 2025	494
lanhd6549tdhse.top	30 de marzo de 2026	355
additionalver.com	8 de junio de 2026	246
deepveindrilling.com	7 de octubre de 2026	83

La suma supera 953 porque muchas tiendas se infectaron varias veces. En pocos sitios aparecieron también hdfdsi84j3h.top y c85grt98sd.com. Sansec Watch, el servicio de Sansec que monitoriza las Content Security Policy, recibió informes de navegadores conectados a los cuatro dominios anteriores, unos 52.000 solo para additionalver.com.

Hay un riesgo añadido: manulfie.click y neswnsssn.click caducaron y fueron registrados de nuevo en mayo de 2026 por terceros; hoy están en un servicio de aparcamiento de dominios. Entre agosto y octubre el loader seguía presente en 9 y 6 tiendas respectivamente: los navegadores de los visitantes envían al nuevo propietario la página de procedencia y el título de la página, y ejecutan cualquier script que devuelva ese dominio.

Cómo funciona el loader

• Dónde se esconde: en la tabla cms_block de la base de datos de Magento, es decir, en los bloques de contenido que el CMS inserta en las páginas. El escáner de Sansec lo encontró ahí en 148 instalaciones, nunca en core_config_data ni en los archivos del tema. Si solo revisas los archivos, no lo ves.
• Infraestructura: deepveindrilling.com, registrado el 6 de octubre de 2026, está detrás de Cloudflare, responde 404 en la página principal y sirve scripts solo a los visitantes de las tiendas infectadas. De sus 83 tiendas, 60 ya habían cargado versiones anteriores, 34 desde octubre de 2025.
• Ejecución sin eval(): la versión de principios de octubre constaba de dos scripts. El primero lee del browser storage un valor llamado fpCode, lo coloca en un div invisible y le hace “clic”: el navegador ejecuta el código como manejador de eventos. El valor lo escribe el script remoto y, una vez guardado, el payload se vuelve a ejecutar en cada página aunque el dominio esté caído o bloqueado. La versión de marzo lo borraba tras una ejecución.
• Filtro de bots: el 23 de octubre los bloques se reescribieron con un loader inline que envía una huella del navegador a https://deepveindrilling.com/?s=49b7ca5f&fp=. La huella detecta navegadores automatizados (navigator.webdriver, variables globales de Selenium, propiedades cdc_ de ChromeDriver) y añade la GPU de WebGL, núcleos de CPU, memoria, pantalla, zona horaria, idiomas y client hints. Un análisis automatizado con urlscan.io recibió HTTP 200 sin contenido añadido.
• Antes de octubre el segundo script era la integración “Script (async)” de Keitaro, un rastreador publicitario comercial usado como traffic distribution system: enviaba el referrer, el título y la query string a una URL codificada en base64 (por ejemplo additionalver.com/Mb2z8J?&se_referrer=) y decidía si devolver un payload, una redirección o nada.
• Payloads observados: el 12 de diciembre de 2025 un cliente autenticado en una tienda infectada recibió desde manulfie.click scripts alojados en crypto-insider.top y leqdger.click, un dominio que imita la marca del monedero Ledger.

Para el threat hunting, las técnicas se pueden asociar (clasificación nuestra) a MITRE ATT&CK T1190 (explotación de aplicaciones expuestas), T1505.003 (web shell), T1136 (creación de cuentas), T1059.007 (JavaScript) y T1497 (evasión del análisis automatizado).

Cómo entran

La oleada de octubre no usó vulnerabilidades nuevas: la mayoría de las tiendas ya estaban comprometidas. En marzo el grupo infectó 471 tiendas en una hora subiendo web shells a través de PolyShell (CVE-2026-48356); más de 100 tiendas tenían archivos subidos mediante PolyShell o SessionReaper (CVE-2025-54236). Una tienda con Magento 2.4.7-p1 tenía web shells de PolyShell disfrazadas de imágenes PNG y no había instalado la corrección de Adobe APSB26-73.

Los parches por sí solos no bastan. Una tienda con Magento 2.4.7-p10, sin parches del core pendientes, recibió el loader el 23 de octubre a las 16:46 UTC, una hora después de un análisis limpio: en septiembre ya se habían encontrado en ella una cuenta de administrador ilegítima y una backdoor GSocket. El acceso del atacante seguía ahí.

Impacto para las empresas europeas e italianas

Magento está muy extendido entre las tiendas online europeas, a menudo gestionadas por agencias o proveedores de hosting externos. Un loader que ejecuta código arbitrario en el navegador de los clientes pone en riesgo credenciales, pedidos y potencialmente pagos: una violación de datos personales activa las obligaciones del RGPD, con la notificación a la autoridad de control en 72 horas. Los mercados en línea están entre los proveedores digitales de la NIS2, que exige gestionar las vulnerabilidades y valorar los incidentes significativos para notificarlos al CSIRT nacional.

Qué hacer ya

1. Busca el loader en la base de datos: revisa las tablas cms_block y cms_page en busca de fpCode, se_referrer, los dominios citados y cadenas en base64 que contengan dominios.
2. Compara con los indicadores que Sansec publica al final de su análisis, también en los logs del proxy y en los informes CSP. Según Sansec, si tu tienda carga alguno de esos dominios, el atacante puede escribir en tu base de datos, y borrar el script no elimina ese acceso.
3. Busca el punto de entrada: web shells entre los archivos subidos (también imágenes falsas), cuentas de administrador desconocidas, procesos sospechosos como backdoors persistentes.
4. Actualiza: APSB26-73 para PolyShell y APSB25-88 para SessionReaper.
5. Tras la limpieza cambia las contraseñas de la base de datos, de los administradores y de las integraciones API.

Cómo ayuda ARXDOME

ARX Horizon te permite buscar indicadores de compromiso como los dominios de la campaña y señala las coincidencias con la threat intelligence. ARX Sentry controla la integridad de los archivos en las carpetas que elijas: si incluyes las de la tienda, una web shell subida se convierte en un evento que analizar (el loader de la base de datos, en cambio, hay que buscarlo con las consultas indicadas). ARX Expose muestra los servicios expuestos y los productos reconocidos, útil para encontrar tiendas olvidadas; ARX Shield enumera las vulnerabilidades abiertas en las máquinas con el agent y permite aislar un servidor sospechoso.

Última actualización: 27 de octubre de 2026