駭客侵入953家線上商店，主攻Magento，利用掃描器躲避的JavaScript載入器
Hackers Infect 953 Online Stores With Scanner-Evading JavaScript, Mostly on Magento
駭客在 2025 年 7 月起持續攻擊，已感染 953 家線上商店，主要針對 Magento，並透過 CMS blocks 注入能躲避掃描器的 JavaScript 載入器。
此事件揭示 Magento 商店易受 JavaScript loader 攻擊，提醒維護者檢查 CMS blocks、更新漏洞、強化密碼，並監控不明域名，避免被利用於偽造購物流程，進而造成財務損失，並對客戶信任造成長期負面影響。
Ravie LakshmananOct 26, 2026惡意軟體 / 網路安全
一個未知的威脅行為者已感染 953 家線上商店，其中大多數使用 Magento，作為自 2025 年 7 月起持續進行的長期攻擊計畫的一部分。
根據荷蘭電子商務安全公司 Sansec 的說法，該活動旨在向商店頁面新增一段小程式碼，當無辜使用者訪問時，透過 Magento CMS blocks 服務惡意 JavaScript 載入程式碼。
"當你訪問時，該程式碼會讓你的瀏覽器詢問該組織的伺服器接下來該做什麼，" Sansec 說. "伺服器首先會檢查你是否是真正的購物者或安全掃描器，因此掃描器不會得到任何東西。"
在此攻擊計畫中，已觀察到不少於五個獨立網域 -
- manulfie[.]click，首次出現於 2025 年 7 月
- neswnsssn[.]click，首次出現於 2025 年 12 月
- lanhd6549tdhse[.]top，首次出現於 2026 年 3 月
- additionalver[.]com，首次出現於 2026 年 6 月
- deepveindrilling[.]com，首次出現於 2026 年 10 月
Sansec 表示，自 2026 年 10 月 6 日該網域註冊以來，已在 83 家線上商店的 CMS blocks 中發現 deepveindrilling[.]com。
最新的 JavaScript 載入器網域託管於 Cloudflare 背後，只對感染商店的真實訪客傳送指令碼請求。載入器被放置於 Magento 的 cms_block 資料庫表中，該表用於將靜態內容渲染到商店前端頁面。
攻擊的最終目標是在購物者開啟受損網站後，當 CMS block 被渲染時啟動攻擊方控制的程式碼。
雖然 Sansec 未透露威脅行為者是修改現有 CMS block（如標題、頁尾或促銷橫幅）還是建立新 block，但攻擊者可以採用任一方法執行載入器。
已發現兩個不同版本的載入器。在其中一個版本中，從攻擊者網域載入的外部 JavaScript 將有效載荷儲存在瀏覽器的 localStorage 中。即使外部網域失效，隱藏的程式碼仍會在隨後的訪問中再次執行。
第二個版本進一步擴充套件此行為，加入瀏覽器指紋檢測以過濾機器人和安全掃描器，同時確保只有真實購物者會受到惡意程式碼的影響。最終有效載荷的具體內容仍不明。
早期攻擊迭代亦觀察到使用 Keitaro（一個廣告追蹤與分析平臺）作為流量分發系統（TDS），根據訪客特徵將其導向不同回應——即返回有效載荷、重定向或無回應。
Sansec 表示，以 Windows 桌面訪客請求 additionalver[.]com 指令碼時，回應為 "QWE=123;," 這僅設定一個 cookie，將訪客標記為 24 小時有效。相對地，deepveindrilling[.]com 網域則移除 Keitaro 元件，並將機器人過濾邏輯整合進載入器本身。
至於最初的進入向量，估計有 471 家 Magento 商店透過 PolyShell（又稱 CVE-2026-48356）漏洞被注入載入器。另有 102 家商店則透過 PolyShell 或 SessionReaper（又稱 CVE-2025-54236）漏洞上傳檔案。
"在 Magento 2.4.7-p1 上的一家商店，PolyShell webshell 被偽裝成 PNG 影像，位於 pub/media/custom_options/quote/，旁邊還有 additionalver.com 的載入器，位於 CMS 區塊中，" Sansec 說。 "該區塊於 10 月 7 日切換到 deepveindrilling[.]com。該商店仍缺少 APSB26-73，即 Adobe 為支援版本線提供的 PolyShell 修補程式。"
"在另一個案例中，一家執行 Magento 2.4.7-p10、沒有缺失核心補丁的電子商務商店被入侵，添加了一個惡意管理員帳號 ，並利用它注入程式碼。"
"網站擁有者建議審核其網站，檢查 cms_block 與 cms_page 表中是否存在可疑帳號和意外的 CMS 區塊。亦建議保持網站更新並強制使用強密碼。"
披露發生在 PHP2Shell 的背景下，這是一組 PHP 的兩個關鍵漏洞（CVE-2026-109618 和 CVE-2026-109619），在上週披露後已被廣泛嘗試利用。
然而，Perplexity 研究員 Adel Karimi 已 記錄 似乎是 首次在實際環境中成功利用這些漏洞 以在蜜罐伺服器上執行 shell 指令。這些指令已被觀察到使用 wget、curl 或 PHP CLI 從遠端伺服器 ("162.35.99[.]94:80") 下載額外負載。到目前為止，尚未觀測到下載的第二階段 artefacts。
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，以閱讀更多我們發布的獨家內容。