Fushata me Magento malware infekton 953 dyqane online
Magento malware ka infektuar 953 dyqane online, shumica e të cilave përdorin Magento, në një fushatë që, sipas Sansec, ka mbetur aktive që nga korriku 2025. Sulmuesi i paidentifikuar vendos një loader kompakt në faqet e dyqaneve përmes seksioneve CMS block të sistemit të menaxhimit të përmbajtjes (CMS), të cilat janë seksione të menaxhuara në database që përdoren për të vendosur material statik në faqet e dyqanit. Kur një blerës hap një faqe të prekur, kodi i shtuar kontakton infrastrukturën e kontrolluar nga sulmuesi për udhëzime të mëtejshme.
Sansec zbuloi se sistemi në distancë përpiqet t’i dallojë blerësit e vërtetë nga scanner e automatizuar të sigurisë. Kërkesat që vlerësohen se vijnë nga scanner nuk marrin asgjë, ndërsa vizitorëve të përzgjedhur mund t’u dërgohet JavaScript keqdashës, pra kod që ekzekutohet brenda shfletuesit web. Kjo shpërndarje selektive e bën më pak të mundshme që kontrollet rutinë të automatizuara të shohin të njëjtën përgjigje si një klient. Payload përfundimtar i saktë mbetet i panjohur, ndaj nuk është konfirmuar se çfarë bën përfundimisht sulmuesi në shfletuesit e blerësve.
Me kalimin e kohës, me fushatën janë lidhur pesë domain. Sansec vëzhgoi fillimisht manulfie[.]click në korrik 2025, neswnsssn[.]click në dhjetor 2025, lanhd6549tdhse[.]top në mars 2026, additionalver[.]com në qershor 2026 dhe deepveindrilling[.]com në tetor 2026. Kompania e sigurisë e gjeti deepveindrilling[.]com brenda seksioneve CMS block të 83 dyqaneve pasi domain u regjistrua më 6 tetor 2026. Ky domain hostohet pas Cloudflare dhe u përgjigjet vetëm kërkesave për script që lidhen me vizitorë realë të dyqaneve të komprometuara.
Loader vendoset në tabelën cms_block të database të Magento. Pasi Magento shfaq CMS block e prekur si pjesë të një faqeje, shfletuesi ekzekuton kodin e kontrolluar nga sulmuesi. Sansec nuk përcaktoi nëse sulmuesi modifikon seksione ekzistuese CMS block, si një header, footer ose seksion promocional, apo krijon të reja. Secila metodë mund të bëjë që script të shfaqet në faqet që shohin klientët. Prandaj, administratorët e faqeve duhet të kontrollojnë si seksionet e njohura CMS block që mund të jenë ndryshuar, ashtu edhe seksionet e panjohura CMS block që nuk duhet të ekzistojnë.
Sansec identifikoi dy versione të loader. Njëri shkarkon JavaScript të jashtëm dhe e ruan payload në localStorage, një hapësirë ku një faqe web mund të mbajë të dhëna në shfletuesin e një vizitori. Kjo ruajtje e vazhdueshme lejon që kodi i ruajtur të ekzekutohet gjatë vizitave të mëvonshme, edhe kur domain i jashtëm i sulmuesit nuk është më i disponueshëm. Një version i dytë shton browser fingerprinting, i cili shqyrton karakteristikat e shfletuesit për të dalluar blerësit e mundshëm nga bot-et dhe mjetet e sigurisë. Ky filtrim synon t’ia shfaqë përgjigjen keqdashëse një numri më të vogël sistemesh të automatizuara.
Aktiviteti i mëparshëm i fushatës përdorte Keitaro, një platformë për gjurmimin dhe analizimin e reklamave, si traffic distribution system (TDS). Një TDS zgjedh se çfarë përgjigjeje t’i japë një vizitori bazuar në karakteristikat e vëzhguara. Në këtë fushatë, kjo mund të nënkuptonte kthimin e një payload, ridrejtimin e vizitorit ose moskthimin e asgjëje. Kur Sansec kërkoi script e additionalver[.]com duke u paraqitur si vizitor nga një kompjuter desktop me Windows, serveri ktheu “QWE=123;”. Përgjigjja nuk ekzekutoi ndonjë veprim tjetër përveç vendosjes së një cookie, një record i vogël në shfletues, që e shënonte vizitorin për 24 orë. Loader më i ri i deepveindrilling[.]com nuk e përdor më komponentin Keitaro dhe, në vend të tij, kryen drejtpërdrejt filtrimin e bot-eve.
Sansec vlerëson se 471 dyqane Magento e morën loader përmes PolyShell, i gjurmuar gjithashtu si CVE-2026-48356. Në 102 dyqane të tjera u ngarkuan skedarë përmes PolyShell ose SessionReaper, i gjurmuar si CVE-2025-54236. Në një dyqan të hetuar që përdorte Magento 2.4.7-p1, skedarët webshell të PolyShell ishin maskuar si skedarë imazhesh PNG nën pub/media/custom_options/quote/. Një webshell është një skedar keqdashës që i lejon një sulmuesi të dërgojë komanda përmes një faqeje web të komprometuar. I njëjti dyqan përmbante loader e additionalver[.]com në një CMS block, i cili ndryshoi në deepveindrilling[.]com më 7 tetor. Sansec tha se dyqanit ende i mungonte APSB26-73, rregullimi i Adobe për PolyShell në linjat e mbështetura të versioneve.
Një komprometim tjetër preku një dyqan që përdorte Magento 2.4.7-p10, edhe pse atij nuk i mungonte asnjë patch në core të Magento. Në këtë rast, u shtua një llogari administratori e paautorizuar, e cila më pas u përdor për të vendosur kodin. Ky zbulim do të thotë se një hetim nuk duhet të ndalet pasi të konfirmohet se janë instaluar përditësimet e core. Pronarët duhet të shqyrtojnë gjithashtu llogaritë e administratorëve, përmbajtjen e database dhe ndryshimet e papritura në faqet e dyqanit.
Sansec rekomandon kontrollimin për llogari të dyshimta dhe shqyrtimin e tabelave cms_block dhe cms_page për përmbajtje të papritur. Instalimet Magento duhet të mbahen të përditësuara dhe llogaritë e administratorëve duhet të përdorin fjalëkalime të forta. Për shkak se loader mund ta ruajë kodin në localStorage të një blerësi, heqja e injection nga database dhe çaktivizimi i domain të sulmuesit mund të mos e heqin menjëherë kodin e ruajtur tashmë në shfletuesit që e kanë vizituar më parë dyqanin e prekur.
Publikimi përkon me aktivitet exploitation që përfshin PHP2Shell, një çift dobësish kritike në PHP të gjurmuara si CVE-2026-109618 dhe CVE-2026-109619. Pas publikimit të tyre javën e mëparshme, u vëzhguan përpjekje të përhapura për exploitation. Një studiues i Perplexity regjistroi gjithashtu atë që dukej se ishte rasti i parë i suksesshëm i in-the-wild exploitation në honeypot servers, të cilët janë sisteme të monitoruara që ekspozohen qëllimisht për të vëzhguar sulmet. Komandat përdorën wget, curl ose ndërfaqen command-line të PHP për të kërkuar payload të tjera nga 162.35.99[.]94:80, megjithëse nuk u vëzhgua asnjë skedar i shkarkuar i fazës së dytë.
Për organizatat përgjegjëse për mjediset e-commerce, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Pavarësisht ofruesit, pronarët e dyqaneve duhet t’i trajtojnë seksionet e pashpjegueshme CMS block, administratorët e panjohur dhe skedarët e maskuar si imazhe si arsye për një hetim të menjëhershëm sigurie.