Firma Sansec ujawniła szeroko zakrojoną kampanię wymierzoną w sklepy internetowe, w tym głównie w użytkowników platformy Magento. Ataki, trwające od lipca 2025 roku, wykorzystywały złośliwy kod JavaScript, który służył jako loader dla dalszych payloadów. Napastnicy stosowali zaawansowane techniki unikania detekcji, takie jak fingerprinting odwiedzających, aby serwować złośliwe skrypty tylko realnym użytkownikom, a nie skanerom bezpieczeństwa.
W kampanii wykorzystano pięć różnych domen, w tym manulfie.click oraz neswnsssn.click. Najnowsza wersja ataku operuje na domenie deepveindrilling.com, która jest chroniona przez Cloudflare i odpowiada wyłącznie na żądania pochodzące z zainfekowanych witryn. Poprzednie warianty ładowały skrypty z domen związanych z kryptowalutami, w tym imitujących markę portfela Ledger.
Infiltracja sklepów odbywała się m.in. poprzez wykorzystanie podatności PolyShell (CVE-2026-48356) oraz SessionReaper (CVE-2025-54236). Co istotne, infekcje dotyczyły również systemów, które zostały już zaktualizowane do najnowszych wersji, co sugeruje obecność trwałych backdoorów lub nieautoryzowanych kont administratora.
Właściciele sklepów powinni przeprowadzić audyt CMS pod kątem obecności nieznanego kodu JavaScript, sprawdzić listę kont administratorów oraz zweryfikować obecność backdoorów, takich jak GSocket. Niezbędna jest pełna sanacja systemów, zmiana wszystkich haseł oraz upewnienie się, że wszystkie komponenty są w pełni załatane.
