Magento-Malware-Kampagne infiziert 953 Onlineshops
Magento-Malware hat in einer Kampagne, die laut Sansec seit Juli 2025 aktiv ist, 953 Onlineshops infiziert, von denen die meisten Magento einsetzen. Der nicht identifizierte Angreifer fügt über CMS blocks des Magento-Content-Management-Systems einen kompakten loader in Shopseiten ein. Diese in der Datenbank verwalteten Bereiche werden genutzt, um statische Inhalte auf Shopseiten zu platzieren. Wenn ein Käufer eine betroffene Seite öffnet, kontaktiert der hinzugefügte Code eine vom Angreifer kontrollierte Infrastruktur, um weitere Anweisungen abzurufen.
Sansec stellte fest, dass das entfernte System versucht, echte Käufer von automatisierten Sicherheitsscannern zu unterscheiden. Anfragen, die vermutlich von Scannern stammen, erhalten keine Antwort, während ausgewählten Besuchern schädliches JavaScript ausgeliefert werden kann, also Code, der im Webbrowser ausgeführt wird. Durch diese selektive Auslieferung ist es weniger wahrscheinlich, dass routinemäßige automatisierte Prüfungen dieselbe Antwort erhalten wie ein Kunde. Der genaue endgültige payload ist weiterhin unbekannt. Daher ist nicht bestätigt, was der Angreifer letztlich in den Browsern der Käufer ausführt.
Im Laufe der Zeit wurden fünf Domains mit der Kampagne in Verbindung gebracht. Sansec beobachtete erstmals manulfie[.]click im Juli 2025, neswnsssn[.]click im Dezember 2025, lanhd6549tdhse[.]top im März 2026, additionalver[.]com im Juni 2026 und deepveindrilling[.]com im Oktober 2026. Das Sicherheitsunternehmen fand deepveindrilling[.]com in den CMS blocks von 83 Shops, nachdem die Domain am 6. Oktober 2026 registriert worden war. Diese Domain wird hinter Cloudflare gehostet und antwortet nur auf script-Anfragen, die mit echten Besuchern kompromittierter Shops verbunden sind.
Der loader wird in der Magento-Datenbanktabelle cms_block abgelegt. Sobald Magento den betroffenen CMS block als Teil einer Seite rendert, führt der Browser den vom Angreifer kontrollierten Code aus. Sansec konnte nicht feststellen, ob der Angreifer bestehende CMS blocks wie Header-, Footer- oder Werbebereiche bearbeitet oder neue erstellt. Beide Methoden können dazu führen, dass das script auf kundenseitigen Seiten erscheint. Websiteadministratoren müssen deshalb sowohl bekannte CMS blocks, die möglicherweise verändert wurden, als auch unbekannte CMS blocks prüfen, die nicht vorhanden sein sollten.
Sansec identifizierte zwei Versionen des loaders. Eine lädt externes JavaScript herunter und speichert den payload in localStorage, einem Bereich, in dem eine Website Daten im Browser eines Besuchers dauerhaft aufbewahren kann. Durch diese Persistenz kann der gespeicherte Code bei späteren Besuchen erneut ausgeführt werden, selbst wenn die externe Domain des Angreifers nicht mehr verfügbar ist. Eine zweite Version ergänzt browser fingerprinting, das Browsermerkmale untersucht, um wahrscheinliche Käufer von bots und Sicherheitstools zu unterscheiden. Diese Filterung soll dafür sorgen, dass weniger automatisierte Systeme die schädliche Antwort zu sehen bekommen.
Bei früheren Aktivitäten der Kampagne wurde Keitaro, eine Plattform für Werbetracking und Analysen, als traffic distribution system (TDS) eingesetzt. Ein TDS entscheidet anhand beobachteter Merkmale, welche Antwort ein Besucher erhält. In dieser Kampagne konnte dies bedeuten, einen payload zurückzugeben, den Besucher umzuleiten oder gar keine Antwort zu senden. Als Sansec das script von additionalver[.]com anforderte und dabei wie ein Besucher mit einem Windows-Desktop erschien, gab der Server „QWE=123;“ zurück. Die Antwort führte keine weitere Aktion aus, abgesehen vom Setzen eines Cookies, eines kleinen record im Browser, der den Besucher für 24 Stunden markierte. Der neuere loader von deepveindrilling[.]com verwendet die Keitaro-Komponente nicht mehr und führt die bot-Filterung stattdessen direkt aus.
Sansec schätzt, dass 471 Magento-Shops den loader über PolyShell erhielten, das auch als CVE-2026-48356 erfasst wird. Bei weiteren 102 Shops wurden Dateien entweder über PolyShell oder SessionReaper hochgeladen, das als CVE-2025-54236 erfasst wird. In einem untersuchten Shop mit Magento 2.4.7-p1 waren PolyShell-webshell-Dateien unter pub/media/custom_options/quote/ als PNG-Bilddateien getarnt. Ein webshell ist eine schädliche Datei, über die ein Angreifer Befehle an eine kompromittierte Website senden kann. Derselbe Shop enthielt den loader von additionalver[.]com in einem CMS block, der am 7. Oktober zu deepveindrilling[.]com geändert wurde. Laut Sansec fehlte dem Shop weiterhin APSB26-73, Adobes PolyShell-Fix für unterstützte Release-Linien.
Eine weitere Kompromittierung betraf einen Shop mit Magento 2.4.7-p10, obwohl dort keine Magento-Core-Patches fehlten. In diesem Fall wurde ein unbefugtes Administratorkonto hinzugefügt und anschließend zum Einfügen des Codes verwendet. Dieser Befund bedeutet, dass eine Untersuchung nicht beendet werden sollte, sobald bestätigt ist, dass die Core-Updates installiert sind. Betreiber sollten außerdem Administratorkonten, Datenbankinhalte und unerwartete Änderungen an den Shopseiten überprüfen.
Sansec empfiehlt, nach verdächtigen Konten zu suchen und sowohl die Tabellen cms_block als auch cms_page auf unerwartete Inhalte zu prüfen. Magento-Installationen sollten auf dem neuesten Stand gehalten werden, und Administratorkonten sollten starke Passwörter verwenden. Da der loader Code im localStorage eines Käufers speichern kann, werden durch das Entfernen der Datenbank-Injection und das Deaktivieren der Domain eines Angreifers möglicherweise nicht sofort jene Codebestandteile entfernt, die bereits in den Browsern früherer Besucher des betroffenen Shops gespeichert sind.
Die Veröffentlichung fällt mit Exploit-Aktivitäten rund um PHP2Shell zusammen, ein Paar kritischer PHP-Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 erfasst werden. Nach ihrer Veröffentlichung in der Vorwoche wurden weitverbreitete Exploit-Versuche beobachtet. Ein Forscher von Perplexity dokumentierte zudem die offenbar erste erfolgreiche Ausnutzung in freier Wildbahn auf honeypot servers, also bewusst überwachten Systemen zur Beobachtung von Angriffen. Die Befehle verwendeten wget, curl oder das PHP command-line interface, um weitere payloads von 162.35.99[.]94:80 anzufordern. Es wurden jedoch keine heruntergeladenen second-stage files beobachtet.
Für Organisationen, die für E-Commerce-Umgebungen verantwortlich sind, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an. Unabhängig vom Anbieter sollten Shopbetreiber unerklärliche CMS blocks, unbekannte Administratoren und als Bilder getarnte Dateien als Gründe für eine sofortige Sicherheitsuntersuchung betrachten.