Как вредоносный код находит покупателей в 953 интернет-магазинах?

Неизвестный злоумышленник внедрил код в 953 интернет-магазина, большинство из которых работают на Magento. Кампания, по данным нидерландской компании по кибербезопасности электронной торговли Sansec, продолжается с июля 2025 года. Вредоносная вставка загружает JavaScript с сервера атакующих, но пытается скрыться от сканеров: защитные системы могут не получить никакого подозрительного содержимого.

Код размещают в таблице базы данных Magento cms_block, откуда платформа берет статические блоки для страниц магазина. Когда такой блок отображается в браузере покупателя, он обращается к серверу злоумышленников за дальнейшими инструкциями. Сервер оценивает посетителя и затем может выдать вредоносную нагрузку, перенаправить его или ничего не ответить.
Sansec не уточнила, меняют ли атакующие уже существующие блоки, например шапку, подвал или рекламный баннер, либо создают новые. Для запуска загрузчика подходят оба варианта. Поэтому проверка только видимых элементов сайта может не обнаружить внедрение.
За кампанией прослеживаются как минимум пять доменов: manulfie[.]click, впервые замеченный в июле 2025 года; neswnsssn[.]click в декабре 2025-го; lanhd6549tdhse[.]top в марте 2026-го; additionalver[.]com в июне 2026-го; и deepveindrilling[.]com, появившийся в октябре 2026 года. После регистрации последнего домена, 6 октября, Sansec обнаружила его в CMS-блоках 83 магазинов. Он размещён за Cloudflare и отвечает на запросы скрипта только тогда, когда посетитель похож на настоящего покупателя заражённого сайта.
Исследователи заметили две версии загрузчика. В первой внешний JavaScript сохраняет полезную нагрузку в localStorage браузера. Поэтому код может запускаться при следующих посещениях, даже если внешний домен перестанет работать. Вторая версия дополнена проверками цифрового отпечатка браузера: они помогают отсеивать ботов и сканеры, оставляя вредоносный сценарий для обычных посетителей. Что именно содержит конечная нагрузка, пока неизвестно.
В ранних вариантах кампании применялся Keitaro, рекламный трекер и платформа аналитики, использовавшиеся как система распределения трафика. Она могла направить разных посетителей к разным результатам: загрузке кода, перенаправлению или пустому ответу. Когда Sansec запросила скрипт additionalver[.]com с компьютера под Windows, сервер вернул QWE=123;. Этот фрагмент лишь устанавливал cookie на 24 часа и больше ничего не делал. В версии с deepveindrilling[.]com Keitaro уже отсутствовал: проверки ботов встроили непосредственно в загрузчик.
Sansec связывает внедрение на 471 Magento-магазине с PolyShell, уязвимостью CVE-2026-48356. Ещё на 102 сайтах файлы загрузили через PolyShell или SessionReaper, известную как CVE-2025-54236. В одном случае на Magento 2.4.7-p1 веб-оболочки PolyShell маскировались под PNG-изображения в каталоге pub/media/custom_options/quote/. Рядом в CMS-блоке находился загрузчик additionalver.com; 7 октября блок переключили на deepveindrilling[.]com. На сайте по-прежнему отсутствовало обновление APSB26-73, выпущенное Adobe для исправления PolyShell в поддерживаемых ветках.
В другом эпизоде взломали магазин на Magento 2.4.7-p10, хотя пропущенных исправлений ядра у него не было. Злоумышленник добавил мошенническую учётную запись администратора и через неё внедрил код. Этот случай показывает, почему проверка обновлений не заменяет аудит администраторских аккаунтов.
Исследователь Perplexity Адель Карими зафиксировал, по-видимому, первый успешный случай эксплуатации этих уязвимостей в реальной среде для выполнения команд оболочки на серверах-ловушках. Команды использовали wget, curl или PHP CLI, чтобы скачать дополнительные файлы с адреса 162.35.99[.]94:80. На момент публикации отчёта Sansec загруженных артефактов второго этапа обнаружено не было.
Sansec советует владельцам магазинов проверять список администраторов на подозрительные аккаунты, изучать таблицы cms_block и cms_page на предмет неизвестного содержимого, своевременно устанавливать обновления и использовать надёжные пароли. Проверять нужно и сохранённые блоки страниц: вредоносный код может быть спрятан там, где посетитель его не заметит, а сканер получит безобидный ответ.