Eine langlaufende Kampagne hat auf 953 Online-Shops JavaScript-Loader-Code platziert, die meisten davon mit Magento, so das Cybersicherheitsunternehmen Sansec. Die Operation ist seit Juli 2025 aktiv und hat fünf Loader-Domains genutzt. Die neueste Version tauchte im Oktober 2026 auf 83 Shops auf.
Der Loader erstellt zunächst einen Fingerabdruck der Besucher, bevor er entscheidet, ob er eine Payload ausliefert. Laut Sansec dient dieser Filterschritt dazu, Sicherheitsuntersuchungen zu umgehen. Sansec hat die finale Payload der neuesten Version nicht erfasst. Frühere Versionen leiteten Besucher zu Skripten auf kryptowährungsbezogenen Domains weiter, darunter eine, die sich als Wallet-Marke Ledger ausgab.
Domainwechsel hinterlassen ältere Infektionen
Laut dem SecurityWeek-Bericht über die Erkenntnisse von Sansec lauteten die ersten vier Loader-Domains der Kampagne manulfie.click, neswnsssn.click, lanhd6549tdhse.top und additionalver.com. Sie tauchten auf Hunderten Shops auf.
Die ersten beiden liefen ab und wurden im Mai 2026 erneut registriert. Beide nutzen inzwischen Nameserver des Domain-Parking-Dienstes abovedomains.com. Dennoch fand Sansec zwischen August und Oktober 2026 weiterhin Code, der manulfie.click auf neun Shops und neswnsssn.click auf sechs Shops lud.
Der Content-Security-Policy-Überwachungsdienst von Sansec erhielt Meldungen, dass Browser von Besuchern alle vier früheren Domains geladen hatten, darunter rund 52.000 Meldungen zu additionalver.com. Diese Zahl beschreibt Meldungen über Browser-Ladevorgänge und nicht die Anzahl infizierter Shops oder bestätigter Payload-Auslieferungen.
Im Oktober 2026 wechselten die Betreiber zu deepveindrilling.com. Laut Sansec liegt die Domain hinter Cloudflare und antwortet nur auf Anfragen von Skripten, die in den Browsern von Besuchern infizierter Shops laufen. Von den 83 Shops, in denen Sansec diesen Loader fand, hatten 60 zuvor frühere Versionen eingebunden.
Ausgenutzte Lücken und anhaltender Zugriff
Sansec berichtete, dass im März 471 Magento-Shops über die Schwachstelle PolyShell mit dem Loader infiziert wurden, die im Bericht als CVE-2026-48356 geführt wird. Außerdem fand das Unternehmen mehr als 100 Shops mit Dateien, die über PolyShell oder SessionReaper hochgeladen worden waren, identifiziert als CVE-2025-54236.
Die Ergebnisse zeigen außerdem, warum der Patch-Status allein nicht belegt, dass ein Shop sauber ist. Ein Shop mit Magento 2.4.7-p10 und ohne fehlende Kern-Patches erhielt am 23. Oktober um 16:46 UTC den Loader deepveindrilling.com, eine Stunde nach einem sauberen Scan. Sansecs eComscan hatte zuvor am 16. September ein unautorisiertes Administratorkonto und am 24. September eine GSocket-Backdoor erkannt. Diese Beobachtungen belegen nicht, wie die Infektion im Oktober zustande kam, dokumentieren aber früheren unbefugten Zugriff auf dieselbe Installation.
Shop-Betreibern wird empfohlen, ihre Content-Management-Systeme auf Loader-Code zu prüfen und Installationen auf Schwachstellen, Backdoors und unautorisierte Administratorkonten zu kontrollieren. Die berichteten Empfehlungen zur Behebung sehen außerdem Bereinigung, das Ändern aller Passwörter und das Einspielen der neuesten verfügbaren Patches vor.
