Una campaña de larga duración ha instalado código loader en JavaScript en 953 tiendas online, la mayoría con Magento, según la empresa de ciberseguridad Sansec. La operación está activa desde julio de 2025 y ha rotado por cinco dominios de loader. Su versión más reciente ha aparecido en 83 tiendas en octubre de 2026.
El loader identifica a los visitantes antes de decidir si entrega un payload, un paso de filtrado que Sansec considera destinado a eludir las investigaciones de seguridad. Sansec no ha capturado el payload final que entrega la versión más reciente. Las versiones anteriores dirigían a los visitantes a scripts alojados en dominios de temática criptomonetaria, entre ellos uno que suplantaba a la marca de monederos Ledger.
Los cambios de dominio dejan infecciones antiguas
Según el informe de SecurityWeek sobre los hallazgos de Sansec, los cuatro primeros dominios de loader de la campaña fueron manulfie.click, neswnsssn.click, lanhd6549tdhse.top y additionalver.com. Aparecieron en cientos de tiendas.
Los dos primeros caducaron y se volvieron a registrar en mayo de 2026. Ambos utilizan ahora servidores de nombres pertenecientes al servicio de dominios aparcados abovedomains.com. Sin embargo, entre agosto y octubre de 2026, Sansec seguía encontrando código que cargaba manulfie.click en nueve tiendas y neswnsssn.click en seis.
El servicio de monitorización de políticas de seguridad de contenido (CSP) de Sansec recibió informes de navegadores de visitantes que cargaban los cuatro dominios anteriores, incluidos unos 52.000 informes para additionalver.com. Esa cifra corresponde a informes de carga desde navegadores, y no al número de tiendas infectadas ni de entregas de payload confirmadas.
En octubre de 2026, el operador cambió a deepveindrilling.com. Según Sansec, el dominio está detrás de Cloudflare y responde solo a las solicitudes de scripts que se ejecutan en los navegadores de los visitantes de las tiendas infectadas. De las 83 tiendas en las que Sansec encontró este loader, 60 habían alojado previamente versiones anteriores.
Vulnerabilidades explotadas y acceso persistente
Sansec informó de que 471 tiendas Magento fueron infectadas con el loader en marzo a través de la vulnerabilidad PolyShell, identificada en el informe como CVE-2026-48356. También encontró más de 100 tiendas con archivos subidos mediante PolyShell o SessionReaper, identificada como CVE-2025-54236.
Los hallazgos muestran también por qué el estado de los parches, por sí solo, no permite confirmar que una tienda esté limpia. Una tienda con Magento 2.4.7-p10, sin parches básicos pendientes, recibió el loader deepveindrilling.com a las 16:46 UTC del 23 de octubre, una hora después de un escaneo limpio. El servicio eComscan de Sansec había detectado previamente una cuenta de administrador no autorizada el 16 de septiembre y una puerta trasera GSocket el 24 de septiembre. Estas observaciones no establecen cómo se produjo la inyección de octubre, pero documentan accesos no autorizados anteriores en la misma instalación.
Se recomienda a los propietarios de tiendas que revisen sus sistemas de gestión de contenidos en busca de código loader y que comprueben las instalaciones en busca de vulnerabilidades, puertas traseras y cuentas de administrador no autorizadas. Según la guía de remediación citada en el informe, también se recomienda limpiar el sitio, cambiar todas las contraseñas y aplicar los últimos parches disponibles.
