黑客用躲避扫描器的 JavaScript 感染 953 家在线商店，多数基于 Magento

一个未知威胁行为者感染了 953 家在线商店，其中大多数运行 Magento，这是自 2025 年 7 月以来一直活跃的长期活动的一部分。

据荷兰电商安全公司 Sansec 称，该活动旨在向商店页面添加一小段代码，当毫无防备的用户访问时，通过 Magento CMS blocks 提供恶意 JavaScript 加载器代码。

"当你访问时，该代码会让你的浏览器向该组织的服务器询问下一步该做什么，" Sansec 表示。"服务器首先检查你是真实购物者还是安全扫描器，因此扫描器一无所获。"

随着时间推移，与该活动相关的不下五个不同域名已被观察到——

• manulfie[.]click，2025 年 7 月首次出现
• neswnsssn[.]click，2025 年 12 月首次出现
• lanhd6549tdhse[.]top，2026 年 3 月首次出现
• additionalver[.]com，2026 年 6 月首次出现
• deepveindrilling[.]com，2026 年 10 月首次出现

Sansec 表示，自 deepveindrilling[.]com 于 2026 年 10 月 6 日注册以来，已在 83 家在线商店的 CMS blocks 中发现它。

这个最新的 JavaScript 加载器域名托管在 Cloudflare 之后，仅响应来自受感染商店真实访问者的脚本请求。该加载器被植入 Magento 的 cms_block 数据库表中，该表用于将静态内容渲染到店面页面。

攻击的最终目标是在购物者打开被攻陷网站后渲染 CMS block 时启动攻击者控制的代码。

尽管 Sansec 未披露该威胁行为者是修改现有 CMS block（如页眉、页脚或促销横幅）还是创建新 block，但攻击者可以采用任一方式来运行加载器。

已发现加载器的两个不同版本。在一个版本中，从攻击者域名加载的外部 JavaScript 将载荷存储在浏览器的 localStorage 中。这导致被藏匿的代码在后续访问时再次运行，即使外部域名变得不可用。

第二个版本在此行为基础上增加了浏览器指纹识别检查，以过滤机器人和安全扫描器，同时确保只有真实购物者暴露于恶意代码。最终载荷的确切性质仍未知。

该活动的早期迭代还被观察到使用 Keitaro（一个广告追踪和分析平台）作为流量分发系统（TDS），根据访问者的特征将其路由到不同的响应——即返回载荷、重定向或什么都不返回。

Sansec 表示，以 Windows 桌面访问者身份请求 additionalver[.]com 脚本返回的响应为 "QWE=123;"，除了设置一个将访问者标记 24 小时的 cookie 外什么都不做。而 deepveindrilling[.]com 域名则去掉了 Keitaro 组件，将机器人过滤逻辑直接集成到加载器本身。

至于初始访问载体，估计有 471 家 Magento 商店是通过 PolyShell（aka CVE-2026-48356）漏洞被注入该加载器的。另有 102 家商店的文件是通过 PolyShell 或 SessionReaper（aka CVE-2025-54236）漏洞上传的。

"一家运行 Magento 2.4.7-p1 的商店在 pub/media/custom_options/quote/ 目录中藏有伪装成 PNG 图像的 PolyShell webshell，旁边 CMS block 中还有 additionalver.com 加载器，" Sansec 表示。"该 block 于 10 月 7 日切换到 deepveindrilling[.]com。该商店仍然缺少 APSB26-73——Adobe 针对受支持发布线的 PolyShell 修复。"

在另一案例中，一家运行 Magento 2.4.7-p10、不缺任何核心补丁的电商商店被攻陷，攻击者添加了一个恶意管理员账户，然后用它注入代码。

建议网站所有者审计其站点中 cms_block 和 cms_page 表中的可疑账户和意外 CMS blocks。还建议保持站点更新并强制使用强密码。

该披露的背景是 PHP2Shell——PHP 中两个严重漏洞（CVE-2026-109618 和 CVE-2026-109619），上周披露后已遭到广泛的利用尝试。

然而，Perplexity 研究员 Adel Karimi 记录到了似乎是这些漏洞在野首次成功利用，在蜜罐服务器上运行 shell 命令。这些命令被观察到使用 wget、curl 或 PHP CLI 从远程服务器（"162.35.99[.]94:80"）获取额外载荷。目前尚未观察到下载的第二阶段工件。