🛡 VULNERABILIDADES 🛡

Campaña de Magento infecta 953 tiendas en línea en cinco dominios.

⏰27 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Campaña de Magento infecta 953 tiendas en línea en cinco dominios.

⟫ 26/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

Desde julio de 2025, un grupo criminal ha infectado 953 tiendas en línea, principalmente aquellas que utilizan la plataforma Magento, según un análisis de los investigadores de Sansec. Este grupo de atacantes ha implementado un método que consiste en añadir un pequeño fragmento de código a las páginas de las tiendas. Cuando un usuario visita una de estas tiendas, su navegador se comunica con el servidor de los atacantes para recibir instrucciones adicionales. Este servidor tiene la capacidad de verificar si el visitante es un comprador legítimo o un escáner de seguridad, ocultando la actividad maliciosa si detecta la presencia de un escáner.

La nueva dirección web asociada a este grupo criminal es deepveindrilling.com. El análisis de Sansec indica que este dominio fue encontrado en los bloques CMS de 83 tiendas, casi todas ellas operando con Magento. Los bloques CMS son secciones de contenido que Magento incorpora a las páginas de la tienda. El dominio fue registrado el 6 de octubre de 2026, y las primeras tiendas comenzaron a cargarlo la noche siguiente.

Este es el quinto dominio vinculado a una campaña que Sansec ha estado rastreando desde julio de 2025, la cual fue reportada en marzo como el ataque masivo PolyShell. La mayoría de las tiendas que utilizan el último dominio ya habían sido previamente atacadas. De las 83 tiendas, 60 habían cargado anteriormente uno de los scripts maliciosos del grupo, y 34 lo habían estado haciendo desde octubre de 2025.

El dominio mencionado está detrás de Cloudflare, lo que complica su identificación y bloqueo, y su página principal devuelve un error 404. Solo responde a las solicitudes de scripts de los visitantes de las tiendas infectadas. El código cargador se encuentra en la tabla cms_block, y el escáner de Sansec, eComscan, lo detectó en 148 instalaciones de servidor a lo largo de la campaña, sin hallarlo nunca en core_config_data o en los archivos de tema.

eComscan descubrió por primera vez el nuevo cargador a las 21:54 UTC del 7 de octubre. Para el final del 8 de octubre, el rastreador de Sansec había encontrado el cargador en 74 tiendas, manifestándose como dos scripts. El primero de estos scripts lee un valor denominado fpCode del almacenamiento del navegador del visitante. Cuando este valor se establece, el script inserta el código almacenado en un div invisible y lo ejecuta. El navegador, entonces, ejecuta el código como un manejador de eventos, sin recurrir a eval().

Es importante destacar que nada en el bloque escribe el fpCode, por lo que el script de deepveindrilling.com debe establecerlo. Un visitante que ha recibido la carga útil una vez, la ejecutará en cada visita posterior, incluso cuando el dominio esté fuera de línea o bloqueado. La versión de marzo había eliminado su carga útil almacenada después de una ejecución.

El 23 de octubre, el operador reescribió nuevamente los bloques, y el cargador apareció en 9 tiendas más. Todas las 71 tiendas que Sansec volvió a rastrear hasta el 24 de octubre funcionaban con la nueva versión. Esta reemplaza la etiqueta de script tradicional con un cargador en línea que envía una huella digital del navegador a https://deepveindrilling.com/?s=49b7ca5f&fp=.

La huella digital utiliza diversos parámetros para identificar navegadores automatizados a través de navigator.webdriver, variables globales de Selenium y propiedades cdc_ de ChromeDriver. También se añade el nombre de la GPU desde WebGL, los núcleos de CPU, la memoria, el tamaño de pantalla, la zona horaria, los idiomas y pistas del cliente. El servidor selecciona su respuesta en función de toda esta información.

El mecanismo de filtrado parece ser efectivo. Cuando urlscan.io cargó una tienda infectada utilizando un navegador Chrome automatizado, recibió un HTTP 200, y Sansec no encontró contenido adicional en la página. Hasta el momento, Sansec no ha capturado la carga útil final.

Las cargas útiles más antiguas dan pistas sobre lo que obtienen los visitantes reales. Sansec Watch, el servicio de monitoreo de la empresa para políticas de seguridad de contenido, muestra lo que se servía en etapas anteriores. El 12 de diciembre de 2025, un cliente que inició sesión en una tienda infectada recibió un script de manulfie.click que cargó https://crypto-insider.top/ssl/ y, cinco minutos después, https://leqdger.click/ssl/.

En diciembre 15 y 16, neswnsssn.click insertó el mismo script de leqdger.click en dos tiendas más. Leqdger.click es un error tipográfico de la marca de monederos cripto Ledger. Este dominio fue registrado el 12 de septiembre de 2025 y ha expirado desde entonces.

Antes de octubre, el segundo script era la integración “Script (async)” de Keitaro, un rastreador de anuncios comercial que también actúa como un sistema de distribución de tráfico, una herramienta que clasifica a los visitantes. Envía el referenciador, el título de la página y la cadena de consulta a una URL codificada en base64 como https://additionalver.com/Mb2z8J?&se_referrer=, donde el camino es el alias de la campaña de Keitaro. El sistema decide, por cada visitante, si devolver una carga útil, un redireccionamiento o nada.

Cuando Sansec solicitó el script additionalver.com desde un visitante de escritorio Windows el 24 de octubre, recibió QWE=123;, una declaración que no realiza ninguna acción, y estableció una cookie que marca al visitante por 24 horas. deepveindrilling.com abandona a Keitaro y mueve el filtrado de bots al cargador, continúa el informe.

A lo largo de 15 meses, se han identificado cinco dominios de cargador. Dos dominios adicionales fueron encontrados en un número reducido de tiendas: hdfdsi84j3h.top, registrado tres minutos después de lanhd6549tdhse.top, y c85grt98sd.com.

Dos dominios más antiguos, neswnsssn.click y manulfie.click, han expirado y fueron registrados nuevamente en mayo de 2026. Ambos ahora utilizan los servidores de nombres de abovedomains.com, un servicio de aparcamiento de dominios. Entre agosto y octubre de 2026, Sansec aún encontró el cargador de manulfie.click en nueve tiendas y el de neswnsssn.click en seis. Cuando los visitantes abren estas tiendas, sus navegadores envían información sobre la página anterior y el título de la página actual al nuevo propietario del dominio. Los navegadores también ejecutan cualquier script devuelto por ese dominio.

Sansec Watch ha recibido informes de navegadores de visitantes conectándose a los cuatro dominios anteriores. Un dominio, additionalver.com, estuvo vinculado a alrededor de 52,000 informes.

La actividad de octubre no dependía de una nueva vulnerabilidad. De las 83 tiendas afectadas, 60 ya habían sido infectadas. Los ataques anteriores parecen haber explotado fallos de carga de archivos en Magento. En marzo, el grupo inyectó su código malicioso en 471 tiendas en solo una hora mediante la carga de webshells a través de PolyShell (CVE-2026-48356).

Algunas tiendas Magento infectadas habían tenido archivos cargados a través de PolyShell o SessionReaper (CVE-2025-54236). En un grupo separado de 3,024 tiendas afectadas por otro skimmer, la tasa de infección fue del 32%.

Una tienda con Magento 2.4.7-p1 contenía webshells de PolyShell disfrazados como imágenes PNG, junto con código malicioso en un bloque CMS. El código cambió de additionalver.com a deepveindrilling.com el 7 de octubre. La tienda no había instalado la corrección de PolyShell de Adobe, APSB26-73.

Sin embargo, instalar todos los parches no garantiza que una tienda esté segura. Otra tienda operando con Magento 2.4.7-p10 no tenía parches críticos faltantes, pero fue infectada el 23 de octubre. Escaneos anteriores ya habían detectado una cuenta de administrador no autorizada y un backdoor GSocket.

Sansec recomienda revisar el contenido del CMS en busca de código malicioso, incluidos dominios codificados en base64. Los administradores deben buscar tanto en las tablas cms_block como cms_page patrones sospechosos como fpCode y se_referrer. También deben inspeccionar los archivos cargados en busca de webshells, verificar la existencia de cuentas de administrador desconocidas y buscar procesos sospechosos. Eliminar los scripts maliciosos no es suficiente: los propietarios de las tiendas deben identificar y corregir la vulnerabilidad o el backdoor que permitió la entrada de los atacantes.

Tras la limpieza, es fundamental cambiar las contraseñas de la base de datos, de administrador y de integración API. Instalar APSB26-73 para PolyShell y APSB25-88 para SessionReaper. Sansec Shield bloquea ambos ataques mientras se programa la actualización.

Sansec enumera los indicadores de compromiso al final de su informe.

“Si su tienda carga algún dominio de los indicadores de compromiso, el atacante puede escribir en su base de datos. Eliminar el script no elimina ese acceso. Consulte Cómo comprobar su tienda”, concluye el informe.

Sígueme en Twitter: @securityaffairs y en Facebook y Mastodon.

Pierluigi Paganini

(SecurityAffairs – hacking, Magento)

◢ VULNERABILIDADES ◣

Magento Campaign Infects 953 Online Stores Across Five Domains

⟫ 26/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

A criminal group has infected 953 online stores since July 2025, mostly Magento shops, according to Sansec researchers. The attackers add a small piece of code to store pages. When someone visits a shop, their browser contacts the attackers’ server to get further instructions. The server checks whether the visitor is a real shopper or a security scanner. If it detects a scanner, it hides the malicious activity. “deepveindrilling.comis the newest web address of a criminal group that breaks into online stores. The group adds a small piece of code to the store’s pages.” Sansec’sanalysisstates. “The group has done this to 953 stores since July 2025, mostly Magento shops. It moves to a new address every few months.” The group’s latest domain isdeepveindrilling.com. Sansec found it in the CMS blocks of 83 stores, almost all running Magento. CMS blocks are content sections that Magento adds to store pages. The domain was registered on October 6, 2026, and the first stores began loading it the following evening. This is the fifth domain linked to a campaign that Sansec has tracked since July 2025 and reported in March as thePolyShell mass attack. Most stores using the latest domain had already been targeted. Of the 83 stores, 60 had previously loaded one of the group’s malicious scripts, and 34 had been doing so since October 2025. The domain sits behind Cloudflare, and its front page returns a 404. It only answers script requests from visitors of infected stores. The loader code lives in the cms_block table, and Sansec’s scanner, eComscan, found it there on 148 server installs over the campaign, never in core_config_data or theme files. eComscan first found the new loader at 21:54 UTC on October 7. By the end of October 8, Sansec’s crawler had found it on 74 stores, as two scripts. The first reads a value called fpCode from the visitor’s browser storage, and when the value is set, the script puts the stored code in an invisible div and clicks it. The browser then runs the code as an event handler, without using eval(). Nothing in the block writes fpCode, so the script from deepveindrilling.com has to set it. A visitor who received the payload once runs it again on every later page view, even when the domain is offline or blocked. The March version deleted its stored payload after one run. On October 23 the operator rewrote the blocks again, and the loader appeared on 9 more stores. All 71 stores Sansec re-crawled by October 24 run the new version. It replaces the plain script tag with an inline loader that sends a browser fingerprint to https://deepveindrilling.com/?s=49b7ca5f&fp=. The fingerprint flags automated browsers through navigator.webdriver, Selenium globals and ChromeDriver’s cdc_ properties. It also adds the GPU name from WebGL, CPU cores, memory, screen size, time zone, languages and client hints. The server picks its response from all of that. The filter works. When urlscan.io loaded an infected store with an automated Chrome browser, it got HTTP 200, and Sansec found no added content in the page. Sansec hasn’t captured the final payload yet. Older payloads give a hint of what real visitors get. Sansec Watch, the firm’s monitoring service for content security policies, shows what the earlier stage served. On December 12, 2025, a customer logged in to an infected store got a script from manulfie.click that loaded https://crypto-insider.top/ssl/ and, five minutes later, https://leqdger.click/ssl/. On December 15 and 16, neswnsssn.click inserted the same leqdger.click script on two more stores. leqdger.click is a misspelling of the crypto wallet brand Ledger. It was registered on September 12, 2025 and has since expired. Before October, the second script was the “Script (async)” integration of Keitaro, a commercial ad tracker that doubles as a traffic distribution system, a tool that sorts visitors. It sends the referrer, page title and query string to a base64 encoded URL such as https://additionalver.com/Mb2z8J?&se_referrer=, where the path is the Keitaro campaign alias. The system then decides per visitor whether to return a payload, a redirect or nothing. “When Sansec requested theadditionalver.comscript as a Windows desktop visitor on October 24, it returnedQWE=123;, a statement that does nothing, and set a cookie that marks the visitor for 24 hours.deepveindrilling.comdrops Keitaro and moves the bot filtering into the loader.” continues the report. Here are the five loader domains over 15 months: Two other domains were found on a small number of stores:hdfdsi84j3h.top, registered three minutes afterlanhd6549tdhse.top, andc85grt98sd.com. Two older domains,neswnsssn.clickandmanulfie.click, expired and were registered again in May 2026. Both now use the nameservers of abovedomains.com, a domain parking service. Between August and October 2026, Sansec still found themanulfie.clickloader on nine stores and theneswnsssn.clickloader on six. When visitors open these stores, their browsers send information about the previous page and the current page title to the new domain owner. The browsers also run any script returned by that domain. Sansec Watch received reports of visitors’ browsers connecting to all four earlier domains. One domain,additionalver.com, was linked to around 52,000 reports. The October activity did not rely on a new vulnerability. Of the 83 affected stores, 60 had already been infected. Earlier attacks appear to have exploited file upload flaws in Magento. In March, the group injected its malicious code into 471 stores in just one hour by uploading webshells through PolyShell (CVE-2026-48356). Some infected Magento stores had files uploaded through PolyShell or SessionReaper (CVE-2025-54236). In a separate group of 3,024 stores affected by another skimmer, the infection rate was 32%. One Magento 2.4.7-p1 store contained PolyShell webshells disguised as PNG images, alongside malicious code in a CMS block. The code switched fromadditionalver.comtodeepveindrilling.comon October 7. The store had not installed Adobe’s PolyShell fix, APSB26-73. However, installing all patches does not guarantee a store is safe. Another store running Magento 2.4.7-p10 had no missing core patches but was infected on October 23. Earlier scans had already found a rogue admin account and a GSocket backdoor. Sansec recommends checking CMS content for malicious code, including base64-encoded domains. Administrators should search both thecms_blockandcms_pagetables for suspicious patterns such asfpCodeandse_referrer. They should also inspect uploaded files for webshells, check for unknown admin accounts, and look for suspicious processes. Removing the malicious scripts is not enough: store owners must also identify and fix the vulnerability or backdoor that allowed the attackers in. After cleanup, change the database, admin and API integration passwords. Install APSB26-73 for PolyShell and APSB25-88 for SessionReaper. Sansec Shield blocks both attacks while you schedule the upgrade. Sansec lists the indicators of compromise at the end of its report. “If your store loads any domain from theindicators of compromise, the attacker can write to your database. Deleting the script does not remove that access. SeeHow to check your store.” concludes the report. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, Magento)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD