Хакери заразиле 953 онлајн-продавници со JavaScript-код што ги избегнува безбедносните скенери, главно на Magento

Објавено: 27.10.2026

Непознат хакерски актер заразил 953 онлајн-продавници, од кои повеќето работат на платформата Magento, како дел од долготрајна кампања што е активна од јули 2025 година.

Според холандската компанија за безбедност на е-трговијата Sansec, активноста е насочена кон вметнување мал дел од код во страниците на продавниците. Кога страниците ќе ги посетат корисници кои не се сомневаат во ништо, тој код испорачува злонамерен JavaScript-код за вчитување преку CMS-блоковите на Magento.

„Кога ќе ја посетите страницата, тој код го тера вашиот прелистувач да побара од серверот на групата инструкции за следните чекори“, соопшти Sansec. „Серверот прво проверува дали сте вистински купувач или безбедносен скенер, па затоа скенерите не добиваат ништо.“

Во текот на кампањата биле забележани најмалку пет различни домени поврзани со нападите:

manulfie[.]click – првпат забележан во јули 2025 година.
neswnsssn[.]click – првпат забележан во декември 2025 година.
lanhd6549tdhse[.]top – првпат забележан во март 2026 година.
additionalver[.]com – првпат забележан во јуни 2026 година.
deepveindrilling[.]com – првпат забележан во октомври 2026 година.

Sansec соопшти дека го пронашла доменот deepveindrilling[.]com во CMS-блоковите на 83 онлајн-продавници, откако доменот бил регистриран на 6 октомври 2026 година.

Најновиот домен за испорака на JavaScript-код е хостиран зад Cloudflare и одговара само на барања за скрипти од вистински посетители на заразените продавници. Кодот за вчитување е сместен во табелата cms_block во базата на податоци на Magento. Оваа табела се користи за прикажување статична содржина на страниците на онлајн-продавниците.

Крајната цел на нападот е да се изврши кодот контролиран од напаѓачите кога CMS-блокот ќе се прикаже откако купувачот ќе ја отвори компромитираната веб-страница.

Иако Sansec не открива дали напаѓачот изменува постоечки CMS-блок, како што се заглавието, подножјето или промотивен банер, или создава нов блок, двата пристапа можат да се искористат за извршување на злонамерниот код за вчитување.

Забележани се две различни верзии на овој код.

Во едната верзија, надворешниот JavaScript-код, вчитан од доменот на напаѓачот, ја зачувува дополнителната злонамерна содржина (payload) во локалното складиште на прелистувачот (localStorage). Поради тоа, зачуваниот код повторно се извршува при следните посети, дури и ако надворешниот домен стане недостапен.

Втората верзија ја надградува оваа функционалност со проверки за отпечатокот на прелистувачот (browser fingerprinting), со цел да ги филтрира ботовите и безбедносните скенери и да осигури дека злонамерниот код ќе биде изложен само на вистинските купувачи. Точната природа на конечниот злонамерен товар засега останува непозната.

Во раните фази на кампањата било забележано и користење на Keitaro, платформа за следење реклами и анализа на сообраќајот, како систем за дистрибуција на сообраќај (Traffic Distribution System – TDS). Тој систем ги насочувал посетителите кон различни одговори – испорака на злонамерен код, пренасочување или отсуство на каква било реакција – зависно од нивните карактеристики.

Sansec соопшти дека барањето на скриптата од additionalver[.]com, кога се пристапувало од десктоп-компјутер со Windows, враќало одговор „QWE=123;“. Тој не правел ништо друго освен што поставувал колаче (cookie) со кое посетителот се означувал во период од 24 часа.

Од друга страна, доменот deepveindrilling[.]com ја отфрлил компонентата Keitaro и ја интегрирал логиката за филтрирање ботови директно во самиот код за вчитување.

Како биле компромитирани онлајн-продавниците?

Кога станува збор за почетниот вектор на пристап, се проценува дека 471 Magento-продавница била заразена со злонамерниот код преку ранливоста PolyShell, позната и како CVE-2026-48356.

Во уште 102 продавници биле поставени датотеки преку ранливостите PolyShell или SessionReaper, позната и како CVE-2025-54236.

„Една продавница со Magento 2.4.7-p1 имала веб-школки PolyShell, маскирани како PNG-слики во директориумот pub/media/custom_options/quote/, веднаш до кодот за вчитување од additionalver.com, сместен во CMS-блок“, соопшти Sansec.

„На 7 октомври блокот бил префрлен на deepveindrilling[.]com. Продавницата сè уште ја нема применето безбедносната поправка APSB26-73 на Adobe за PolyShell, наменета за поддржаните верзии.“

Во друг случај, била компромитирана онлајн-продавница што користела Magento 2.4.7-p10 и ги имала применето сите достапни основни безбедносни поправки. Напаѓачите додале неовластена администраторска сметка, а потоа ја искористиле за вметнување на злонамерниот код.

На сопствениците на веб-страници им се советува да ги проверат своите системи за сомнителни кориснички сметки и неочекувани CMS-блокови во табелите cms_block и cms_page. Исто така, се препорачува редовно ажурирање на веб-страниците и примена на силни лозинки.

Поврзаност со ранливостите PHP2Shell

Објавувањето на овие информации доаѓа во време кога се забележуваат напади поврзани со PHP2Shell – две критични ранливости во PHP, означени како CVE-2026-109618 и CVE-2026-109619, кои биле изложени на бројни обиди за експлоатација по нивното откривање минатата недела.

Сепак, истражувачот на Perplexity, Адел Карими, забележал нешто што се чини дека е првиот потврден успешен случај на експлоатација на овие ранливости во реални услови, при кој биле извршувани команди од школка (shell commands) на сервери-мамки (honeypot).

Забележаните команди користеле алатки како wget, curl или PHP CLI за преземање дополнителни злонамерни товари од оддалечен сервер (162.35.99[.]94:80).

Досега не се забележани преземени артефакти од втората фаза на нападот (second-stage artifacts).

Извори:

The Hacker News – Hackers Infect 953 Online Stores With Scanner-Evading JavaScript, Mostly on Magento The Hacker News