Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

953 sklepy internetowe, głównie na Magento, zainfekowane kodem ukrytym przed skanerami

Sansec opisał kampanię trwającą od lipca 2025 roku: złośliwy JavaScript w blokach CMS Magento działa tylko u prawdziwych klientów, a skanery bezpieczeństwa nic nie widzą.

Karta wpisu: 953 sklepy internetowe, głównie na Magento, zainfekowane kodem ukrytym przed skanerami

Sansec, holenderska firma zajmująca się bezpieczeństwem handlu internetowego, wykrył złośliwy kod w 953 sklepach internetowych, w większości działających na Magento. Kampania trwa od lipca 2025 roku, a jej sprawca jest nieznany. Kod sprawdza, czy stronę odwiedza prawdziwy klient, czy skaner bezpieczeństwa, i skanerom nie zwraca niczego.

Loader jest zapisany w tabeli cms_block bazy Magento, z której sklep renderuje statyczne treści, i uruchamia się przy wyświetleniu bloku. Jedna wersja zapisuje ładunek w localStorage przeglądarki, więc kod działa przy kolejnych wizytach nawet wtedy, gdy domena atakującego przestanie odpowiadać. Druga dodaje fingerprinting przeglądarki, który odsiewa boty i skanery. W kampanii użyto co najmniej pięciu domen, w tym deepveindrilling[.]com, którą od jej rejestracji 6 października 2026 roku znaleziono w blokach CMS 83 sklepów.

Kogo dotyczy

Sklepy internetowe, głównie na Magento, oraz klientów odwiedzających zainfekowane strony. Sansec nie podaje, czy atakujący zmienia istniejące bloki CMS, takie jak nagłówek, stopka czy baner promocyjny, czy tworzy nowe.

TAB. 2

Źródła

1
The Hacker News — Hackers Infect 953 Online Stores With Scanner-Evading JavaScript, Mostly on Magentothehackernews.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com