953家Magento商店遭JavaScript加载器植入

资讯专家

Sansec报告称，自2025年7月起，攻击者持续向953家在线商店（多数运行Magento）注入JavaScript加载器，已使用5个域名。前四个域名manulfie.click、neswnsssn.click、lanhd6549tdhse.top和additionalver.com曾被数百家商店使用。manulfie.click和neswnsssn.click在2026年5月过期并重新注册，目前均使用域名停放服务abovedomains.com的NS。2026年8月至10月，Sansec仍在9家商店发现manulfie.click加载器、6家发现neswnsssn.click加载器。

2026年10月，攻击者切换到deepveindrilling.com加载器域名。该域名位于Cloudflare后，仅响应感染店铺访客浏览器中已加载脚本发出的请求。Sansec已在83家商店发现该加载器，其中60家此前运行过旧版加载器。Sansec Watch收到访客浏览器加载四个旧域名的报告，其中additionalver.com约5.2万次。

2026年3月，471家Magento商店通过PolyShell（CVE-2026-48356）漏洞被注入加载器；Sansec还发现100多家商店的文件通过PolyShell或SessionReaper（CVE-2025-54236）漏洞上传。

已打补丁的商店也会中招。一家运行Magento 2.4.7-p10且无缺失核心补丁的商店，在2026年10月23日16:46 UTC、距一次干净扫描一小时后出现deepveindrilling.com加载器。eComscan此前于9月16日发现恶意管理员账号，9月24日发现GSocket后门。

加载器会做访客指纹识别，仅向真实访客投放payload，以规避安全调查。Sansec尚未捕获最终payload；旧版加载器曾从加密主题域名向访客下发脚本，其中一个仿冒Ledger钱包品牌。

建议商店运营者：

• 检查CMS是否含加载器代码；
  
• 检查安装是否存在攻击者可利用的漏洞和后门；
  
• 检查恶意管理员账号；
  
• 清理并更改所有密码；
  
• 确保部署最新补丁。