O campanie de infectare activă din iulie 2025 a plasat cod malițios în 953 de magazine online, majoritatea construite pe Magento, potrivit firmei de securitate Sansec. Atacatorii au schimbat de-a lungul timpului domeniile folosite de loaderul JavaScript, iar unele site-uri au fost compromise chiar și după aplicarea patch-urilor disponibile.
Investigația conturează o operațiune persistentă, în care remedierea unei vulnerabilități nu a fost suficientă pentru a garanta că magazinul este curat. Loaderul selecta vizitatorii reali pentru livrarea codului următor, o metodă care putea face activitatea atacatorilor mai greu de observat în timpul verificărilor de securitate.
Cinci domenii au susținut o campanie de peste un an
Primele patru domenii identificate în campanie sunt manulfie.click, neswnsssn.click, lanhd6549tdhse.top și additionalver.com. Sansec spune că acestea au fost folosite pe sute de magazine, iar serviciul său de monitorizare a politicilor de securitate a conținutului, Sansec Watch, a raportat browsere care au încărcat toate cele patru domenii anterioare.
Volumul raportărilor a variat considerabil: pentru additionalver.com au fost înregistrate aproximativ 52.000 de încărcări raportate de browserele vizitatorilor. Potrivit Sansec, manulfie.click și neswnsssn.click au expirat și au fost înregistrate din nou în mai 2026; ambele folosesc acum serverele DNS ale serviciului de parcare a domeniilor abovedomains.com.
Reînregistrarea nu a șters însă urmele din magazinele compromise. Între august și octombrie 2026, Sansec a găsit loaderul manulfie.click pe nouă magazine, iar versiunea asociată neswnsssn.click pe alte șase, semn că domeniile sau codul care le invoca au rămas relevante în investigație după schimbarea infrastructurii.
În octombrie 2026, atacatorul a trecut la deepveindrilling.com, al cincilea domeniu cunoscut al campaniei. Acesta se află în spatele infrastructurii Cloudflare și răspunde numai cererilor venite de la scripturi încărcate în browserul vizitatorilor magazinelor infectate, ceea ce limitează observarea directă a comportamentului său.
Sansec a identificat noul loader pe 83 de magazine; 60 dintre acestea fuseseră expuse anterior unor versiuni mai vechi. Suprapunerea sugerează că schimbarea domeniului nu a reprezentat neapărat o campanie nouă, ci continuarea unei operațiuni care a păstrat o parte dintre țintele deja compromise.
Vulnerabilitățile au deschis calea, dar nu explică toate reinfectările
În martie, 471 de magazine Magento au fost injectate cu loaderul prin vulnerabilitatea PolyShell, identificată prin CVE-2026-48356. Sansec a mai găsit peste 100 de magazine pe care atacatorii încărcaseră fișiere folosind PolyShell sau SessionReaper, vulnerabilitate asociată identificatorului CVE-2025-54236.
Datele indică exploatarea unor breșe cunoscute, dar cercetătorii avertizează că instalarea patch-urilor nu închide automat incidentul. Sansec a identificat loaderul deepveindrilling.com pe un magazin care rula Magento 2.4.7-p10 și nu avea patch-uri de bază lipsă, la aproximativ o oră după ce o scanare îl declarase curat.
Istoricul acelui magazin ridică întrebări despre persistența atacatorilor și despre limitele scanărilor punctuale. EComscan găsise acolo un cont de administrator neautorizat pe 16 septembrie, apoi un backdoor GSocket pe 24 septembrie; loaderul a fost observat ulterior, la 16:46 UTC, pe 23 octombrie.
Acest caz nu demonstrează singur cum a fost obținut accesul inițial sau dacă toate incidentele au aceeași cauză. Arată însă că un site poate rămâne vulnerabil prin conturi compromise, fișiere malițioase ori backdoor-uri, chiar dacă versiunea principală a platformei este actualizată și o verificare recentă nu a semnalat probleme.
Loaderul căuta vizitatori reali și ascundea următorul pas
Codul loaderului era proiectat să facă fingerprinting al vizitatorilor și să livreze payload-ul numai persoanelor reale, nu celor care investigau site-ul. Selectarea țintită poate reduce șansele ca instrumentele automate sau cercetătorii să reproducă activitatea malițioasă în timpul unei analize obișnuite.
Sansec spune că nu a capturat încă payload-ul final al versiunii curente. În versiuni anterioare, loaderul le-a servit vizitatorilor scripturi găzduite pe domenii cu tematică crypto, inclusiv unul care imita brandul portofelului Ledger; prin urmare, posibila fraudare a utilizatorilor trebuie tratată ca risc, nu ca efect confirmat în acest caz.
Pentru cumpărători, compromiterea unui magazin poate crea riscul ca interacțiunile din browser să fie expuse unor scripturi ostile. Materialul Sansec nu precizează ce date au fost colectate și nici nu confirmă capturarea informațiilor de plată, așa că organizațiile trebuie să distingă între existența codului malițios și efectele care pot fi demonstrate prin investigația tehnică.
Ce ar trebui să verifice magazinele din România și UE
Magazinele online din România și din restul Uniunii Europene care folosesc Magento sau alte sisteme de comerț electronic ar trebui să verifice atât codul paginilor, cât și instalarea completă: fișiere modificate, conturi administrative necunoscute, backdoor-uri și urme ale vulnerabilităților PolyShell și SessionReaper. Aplicarea patch-urilor rămâne esențială, dar nu înlocuiește căutarea semnelor de acces persistent.
Sansec recomandă eliminarea codului malițios, curățarea instalării, schimbarea tuturor parolelor și rularea celor mai recente patch-uri disponibile. În practică, echipele ar trebui să revizuiască și jurnalele de acces și modificările recente, să limiteze privilegiile conturilor administrative și să monitorizeze dacă domeniile loaderului apar în cererile browserelor sau în politicile CSP.
Dacă verificările indică acces neautorizat ori expunerea unor date personale, organizațiile din UE trebuie să evalueze incidentul potrivit obligațiilor lor legale și să consulte echipele juridice și de protecție a datelor. Nu există în materialul citat o confirmare că datele clienților au fost exfiltrate, dar nici simpla instalare a unui patch nu poate stabili că un incident s-a încheiat.
Pentru instituțiile și companiile care găzduiesc sau administrează magazine, lecția este una operațională: curățarea trebuie să acopere întregul lanț de acces, nu doar versiunea platformei. Un cont compromis sau un backdoor poate permite reinfectarea, iar un loader care se activează numai pentru vizitatori reali poate rămâne nedetectat de controale superficiale.
