Hackers infectam 953 lojas virtuais sem alertar scanners de segurança

Uma campanha de ataques cibernéticos comprometeu 953 lojas virtuais, a maioria baseada na plataforma Magento, utilizando códigos JavaScript maliciosos capazes de identificar e evitar ferramentas automatizadas de segurança. A operação está ativa desde julho de 2025 e foi identificada pela empresa holandesa de cibersegurança Sansec.

Segundo a investigação, os hackers inserem pequenos trechos de código nas páginas das lojas comprometidas. Quando um consumidor acessa o site, o navegador solicita instruções a um servidor controlado pelos invasores, que verifica se a conexão pertence a um visitante legítimo ou a um scanner de segurança.

Caso identifique uma ferramenta automatizada, o servidor não entrega o código malicioso, dificultando a detecção da campanha. Visitantes reais, por outro lado, podem receber instruções adicionais para executar JavaScript controlado pelos atacantes.

Campanha utiliza domínios maliciosos e mecanismos de persistência

A Sansec identificou cinco domínios associados à operação, utilizados em diferentes períodos:

• manulfie[.]click — julho de 2025

• neswnsssn[.]click — dezembro de 2025

• lanhd6549tdhse[.]top — março de 2026

• additionalver[.]com — junho de 2026

• deepveindrilling[.]com — outubro de 2026

O domínio mais recente, deepveindrilling[.]com, foi registrado em 6 de outubro de 2026 e identificado em blocos CMS de 83 lojas virtuais. Hospedado por trás da infraestrutura da Cloudflare, ele responde seletivamente às solicitações de scripts originadas de visitantes reais dos sites infectados.

O código malicioso é armazenado na tabela cms_block do banco de dados do Magento, responsável por conteúdos estáticos exibidos nas páginas, como cabeçalhos, rodapés e banners promocionais.

Quando esses blocos são carregados durante a navegação, o JavaScript é executado no navegador do consumidor. A Sansec não confirmou se os invasores modificam blocos existentes ou criam novos registros.

A investigação identificou duas versões do carregador malicioso. A primeira utiliza o recurso localStorage do navegador para armazenar o código, permitindo sua execução em visitas posteriores, mesmo que o domínio externo deixe de responder.

A segunda incorpora técnicas de identificação do navegador, conhecidas como browser fingerprinting, para diferenciar consumidores reais de bots e scanners de segurança.

Apesar dessas descobertas, a finalidade exata do código malicioso executado na etapa final ainda não foi determinada.

Vulnerabilidades PolyShell e SessionReaper facilitaram invasões

A análise aponta que aproximadamente 471 lojas Magento podem ter recebido o código malicioso por meio da vulnerabilidade PolyShell (CVE-2026-48356). Outras 102 apresentaram arquivos enviados por meio das falhas PolyShell ou SessionReaper (CVE-2025-54236).

Em um dos casos, uma loja que utilizava Magento 2.4.7-p1 apresentava webshells associados ao PolyShell disfarçados de imagens PNG no diretório pub/media/custom_options/quote/.

No mesmo ambiente, os pesquisadores encontraram o carregador vinculado ao domínio additionalver[.]com em um bloco CMS. Em 7 de outubro, o endereço foi substituído por deepveindrilling[.]com.

Segundo a Sansec, a loja ainda não havia aplicado a atualização APSB26-73, disponibilizada pela Adobe para corrigir a vulnerabilidade PolyShell nas versões suportadas.

Outro estabelecimento, que executava Magento 2.4.7-p10 e não apresentava atualizações de segurança pendentes no núcleo da plataforma, também foi comprometido. Nesse caso, os invasores criaram uma conta administrativa não autorizada e a utilizaram para inserir o JavaScript malicioso.

Hackers utilizam técnicas para escapar da detecção

Versões anteriores da campanha utilizavam o Keitaro, uma plataforma de rastreamento e análise de publicidade, como sistema de distribuição de tráfego (Traffic Distribution System, ou TDS).

Essa infraestrutura permitia entregar diferentes respostas conforme as características do visitante, incluindo códigos maliciosos, redirecionamentos ou nenhum conteúdo.

Em um teste realizado pela Sansec, o domínio additionalver[.]com retornou apenas a instrução QWE=123; para um visitante identificado como usuário de Windows. A resposta não executava uma ação maliciosa aparente, mas estabelecia um cookie válido por 24 horas.

Já o domínio deepveindrilling[.]com eliminou a dependência do Keitaro e passou a incorporar os mecanismos de filtragem diretamente no carregador JavaScript.

A Sansec recomenda que administradores de lojas virtuais verifiquem contas administrativas suspeitas e registros inesperados nas tabelas cms_block e cms_page, além de manter o Magento atualizado e utilizar senhas fortes.

Exploração de falhas PHP2Shell também apresenta novos indícios

A divulgação ocorre em meio às tentativas de exploração das vulnerabilidades críticas PHP2Shell, identificadas como CVE-2026-109618 e CVE-2026-109619, divulgadas na semana anterior.

O pesquisador Adel Karimi, da Perplexity, registrou o que aparenta ser a primeira exploração bem-sucedida dessas falhas em ambiente real, com execução de comandos shell em servidores honeypot utilizados para monitorar atividades maliciosas.

Os comandos observados utilizavam ferramentas como wget, curl e PHP CLI para tentar obter cargas adicionais de um servidor remoto localizado em 162.35.99[.]94:80.

Até o momento da análise, nenhum artefato correspondente a uma segunda etapa do ataque havia sido observado após o download.

Não há evidências apresentadas de que a campanha contra lojas Magento esteja diretamente relacionada às tentativas de exploração do PHP2Shell.