Admin
Администратор
Неизвестная группа хакеров заразила 953 интернет-магазина, большинство из которых работают на платформе Magento. Кампания началась в июле 2025 года и продолжается до сих пор. Вредоносный код внедряется в страницы магазинов через блоки CMS Magento, что позволяет злоумышленникам скрывать свои действия от сканеров безопасности. Когда пользователь посещает заражённый сайт, его браузер запрашивает у сервера хакеров дальнейшие инструкции. Сервер проверяет, является ли посетитель реальным покупателем или сканером безопасности, и только в первом случае возвращает вредоносный код. В рамках кампании использовалось пять различных доменов, включая deepveindrilling[.]com, который был обнаружен в CMS-блоках 83 магазинов. Хакеры используют два варианта загрузчика: один сохраняет вредоносный код в локальном хранилище браузера, а второй включает проверку отпечатка браузера для фильтрации ботов. Исследователи предполагают, что для первоначального доступа к магазинам хакеры использовали уязвимости PolyShell и SessionReaper. Владельцам сайтов рекомендуется проверить свои CMS-блоки на наличие подозрительных изменений и убедиться, что все системы обновлены.
