Magento: 953 de magazine online cu un loader care evită scanerele

Un grup infracțional a compromis 953 de magazine online din iulie 2025, aproape toate bazate pe Magento (Adobe Commerce), inserând în pagini un mic loader JavaScript. Campania a fost reconstituită de Sansec, companie de securitate pentru comerțul electronic, și preluată de SecurityWeek, The Hacker News, Security Affairs și Infosecurity Magazine. Publicațiile sunt de acord asupra cifrelor; detaliile tehnice de mai jos provin din analiza Sansec, așa cum o relatează SecurityWeek și Security Affairs.

Loaderul decide, pentru fiecare vizitator, dacă livrează codul malițios: browserele automatizate și scanerele de securitate primesc o pagină curată. De aceea payloadul final nu a fost încă capturat. Security Affairs vorbește despre o campanie de skimming; sursele însă nu descriu un furt de date de plată în această etapă, iar payloadurile observate în trecut trimiteau la domenii cu temă cripto.

Cinci domenii în 15 luni

Grupul își schimbă domeniul la câteva luni. Potrivit tabelului Sansec publicat de Security Affairs:

Domeniu	Prima apariție în magazine	Magazine
manulfie.click	9 iulie 2025	863
neswnsssn.click	12 decembrie 2025	494
lanhd6549tdhse.top	30 martie 2026	355
additionalver.com	8 iunie 2026	246
deepveindrilling.com	7 octombrie 2026	83

Totalul depășește 953 deoarece multe magazine au fost infectate de mai multe ori. Pe câteva site-uri au apărut și hdfdsi84j3h.top și c85grt98sd.com. Sansec Watch, serviciul Sansec de monitorizare a Content Security Policy, a primit rapoarte despre browsere conectate la toate cele patru domenii anterioare, circa 52.000 doar pentru additionalver.com.

Există un risc în plus: manulfie.click și neswnsssn.click au expirat și au fost înregistrate din nou în mai 2026 de terți, iar acum sunt pe un serviciu de parcare a domeniilor. Între august și octombrie loaderul era încă prezent pe 9, respectiv 6 magazine: browserele vizitatorilor trimit noului proprietar pagina de proveniență și titlul paginii și execută orice script returnat de acel domeniu.

Cum funcționează loaderul

• Unde se ascunde: în tabelul cms_block din baza de date Magento, adică în blocurile de conținut pe care CMS-ul le inserează în pagini. Scanerul Sansec l-a găsit acolo pe 148 de instalări, niciodată în core_config_data sau în fișierele temei. Dacă verifici doar fișierele, nu îl vezi.
• Infrastructură: deepveindrilling.com, înregistrat pe 6 octombrie 2026, se află în spatele Cloudflare, răspunde cu 404 pe pagina principală și livrează scripturi doar vizitatorilor magazinelor infectate. Din cele 83 de magazine ale sale, 60 încărcaseră deja versiuni anterioare, 34 încă din octombrie 2025.
• Execuție fără eval(): versiunea de la începutul lui octombrie era formată din două scripturi. Primul citește din browser storage o valoare numită fpCode, o pune într-un div invizibil și dă „clic” pe el: browserul execută codul ca handler de evenimente. Valoarea o scrie scriptul de la distanță, iar odată salvat payloadul se execută din nou la fiecare pagină, chiar dacă domeniul este offline sau blocat. Versiunea din martie îl ștergea după o execuție.
• Filtrarea boților: pe 23 octombrie blocurile au fost rescrise cu un loader inline care trimite o amprentă a browserului la https://deepveindrilling.com/?s=49b7ca5f&fp=. Amprenta recunoaște browserele automatizate (navigator.webdriver, variabile globale Selenium, proprietățile cdc_ ale ChromeDriver) și adaugă GPU-ul din WebGL, nucleele CPU, memoria, ecranul, fusul orar, limbile și client hints. O scanare automatizată cu urlscan.io a primit HTTP 200 fără conținut adăugat.
• Înainte de octombrie al doilea script era integrarea „Script (async)” a Keitaro, un tracker publicitar comercial folosit ca traffic distribution system: trimitea referrerul, titlul și query stringul către un URL codificat în base64 (de exemplu additionalver.com/Mb2z8J?&se_referrer=) și decidea dacă returnează un payload, o redirecționare sau nimic.
• Payloaduri observate: pe 12 decembrie 2025 un client autentificat într-un magazin infectat a primit de la manulfie.click scripturi găzduite pe crypto-insider.top și leqdger.click, un domeniu care imită marca portofelului Ledger.

Pentru threat hunting, tehnicile pot fi asociate (clasificarea noastră) cu MITRE ATT&CK T1190 (exploatarea aplicațiilor expuse), T1505.003 (web shell), T1136 (crearea de conturi), T1059.007 (JavaScript) și T1497 (evitarea analizei automatizate).

Cum intră

Valul din octombrie nu a folosit vulnerabilități noi: majoritatea magazinelor erau deja compromise. În martie grupul infectase 471 de magazine într-o oră, încărcând web shell-uri prin PolyShell (CVE-2026-48356); peste 100 de magazine aveau fișiere încărcate prin PolyShell sau SessionReaper (CVE-2025-54236). Un magazin pe Magento 2.4.7-p1 avea web shell-uri PolyShell deghizate în imagini PNG și nu instalase corecția Adobe APSB26-73.

Patch-urile singure nu sunt de ajuns. Un magazin pe Magento 2.4.7-p10, fără patch-uri de core lipsă, a primit loaderul pe 23 octombrie la 16:46 UTC, la o oră după o scanare curată: în septembrie fuseseră deja găsite pe el un cont de administrator nelegitim și un backdoor GSocket. Accesul atacatorului rămăsese.

Impactul pentru companiile europene și italiene

Magento este răspândit printre magazinele online europene, adesea administrate de agenții sau furnizori externi de hosting. Un loader care execută cod arbitrar în browserul clienților pune în pericol datele de autentificare, comenzile și potențial plățile: o încălcare a securității datelor personale declanșează obligațiile GDPR, cu notificarea autorității de supraveghere în 72 de ore. Piețele online se numără printre furnizorii digitali vizați de NIS2, care cere gestionarea vulnerabilităților și evaluarea incidentelor semnificative în vederea notificării către CSIRT-ul național.

Ce să faci imediat

1. Caută loaderul în baza de date: verifică tabelele cms_block și cms_page pentru fpCode, se_referrer, domeniile enumerate și șiruri base64 care conțin domenii.
2. Compară cu indicatorii publicați de Sansec la finalul analizei, inclusiv în logurile proxy și în rapoartele CSP. Potrivit Sansec, dacă magazinul tău încarcă unul dintre acele domenii, atacatorul poate scrie în baza ta de date, iar ștergerea scriptului nu elimină acest acces.
3. Caută punctul de intrare: web shell-uri printre fișierele încărcate (inclusiv imagini false), conturi de administrator necunoscute, procese suspecte precum backdoor-uri persistente.
4. Actualizează: APSB26-73 pentru PolyShell și APSB25-88 pentru SessionReaper.
5. După curățare schimbă parolele bazei de date, ale administratorilor și ale integrărilor API.

Cum ajută ARXDOME

ARX Horizon îți permite să cauți indicatori de compromitere precum domeniile campaniei și semnalează corespondențele cu threat intelligence. ARX Sentry controlează integritatea fișierelor în folderele stabilite: dacă le incluzi pe cele ale magazinului, un web shell încărcat devine un eveniment de analizat (loaderul din baza de date trebuie în schimb căutat cu interogările indicate). ARX Expose arată serviciile expuse și produsele recunoscute, util pentru a găsi magazinele uitate; ARX Shield enumeră vulnerabilitățile deschise pe mașinile cu agent și permite izolarea unui server suspect.

Ultima actualizare: 27 octombrie 2026