Злоумышленники заразили 953 интернет-магазина кодом, который скрывается от сканеров

Злоумышленники с июля 2025 года внедрили вредоносный JavaScript в 953 интернет-магазина, преимущественно на Magento. Загрузчик отличает покупателей от сканеров и скрывает от последних вредоносную активность. Об этом сообщает Security Affairs со ссылкой на исследователей Sansec.

В марте 2026 года группа заразила 471 магазин всего за час, загрузив веб-шеллы через уязвимость PolyShell (CVE-2026-48356).

В октябре злоумышленники перешли на deepveindrilling.com, пятый домен кампании. Исследователи нашли его в CMS-блоках 83 магазинов; 60 из них уже были заражены. Загрузчик хранится в таблице cms_block.

Один из вариантов загрузчика повторно запускает сохранённый в браузере код при каждом просмотре страницы, даже если домен недоступен или заблокирован. Что именно делает код, который загружает новая версия, пока неизвестно: исследователям не удалось его перехватить. Ранние версии загрузчика отдавали посетителям скрипты с доменов криптовалютной тематики, в том числе с домена, имитирующего бренд кошелька Ledger.

Установленных исправлений недостаточно: 23 октября загрузчик появился в магазине на Magento 2.4.7-p10 со всеми исправлениями ядра. Ранее исследователи уже находили там постороннюю учётную запись администратора и бэкдор GSocket.

Удаления вредоносных скриптов недостаточно: нужно также закрыть уязвимость или устранить бэкдор, через который злоумышленники получили доступ. Исследователи рекомендуют:

• Проверить таблицы cms_block и cms_page на подозрительный код, в том числе строки fpCode и se_referrer.
• Проверить загруженные файлы на веб-шеллы, поискать неизвестные учётные записи администраторов и подозрительные процессы.
• После очистки сменить пароли базы данных, администраторов и API-интеграций.
• Установить исправления APSB26-73 для PolyShell и APSB25-88 для SessionReaper (CVE-2025-54236).