Selon le cabinet de cybersécurité Sansec, une campagne de longue durée a implanté du code loader JavaScript sur 953 boutiques en ligne, dont la plupart tournent sous Magento. L'opération est active depuis juillet 2025 et a utilisé cinq domaines de loader. Sa dernière version est apparue sur 83 boutiques en octobre 2026.
Le loader identifie les visiteurs avant de décider de leur livrer ou non une charge utile, une étape de filtrage que Sansec décrit comme destinée à échapper aux enquêtes de sécurité. Sansec n'a pas capturé la charge utile finale livrée par la dernière version. Les versions antérieures redirigeaient les visiteurs vers des scripts hébergés sur des domaines à thème cryptomonnaie, dont l'un usurpait la marque de portefeuille Ledger.
Les changements de domaine laissent des infections anciennes en place
Selon le rapport de SecurityWeek sur les constats de Sansec, les quatre premiers domaines de loader de la campagne étaient manulfie.click, neswnsssn.click, lanhd6549tdhse.top et additionalver.com. Ils sont apparus sur des centaines de boutiques.
Les deux premiers ont expiré, puis ont été réenregistrés en mai 2026. Ils utilisent désormais des serveurs de noms appartenant au service de parking de domaines abovedomains.com. Néanmoins, entre août et octobre 2026, Sansec a encore trouvé du code chargeant manulfie.click sur neuf boutiques et neswnsssn.click sur six.
Le service de surveillance CSP (politique de sécurité du contenu) de Sansec a reçu des signalements de navigateurs de visiteurs chargeant les quatre domaines précédents, dont environ 52 000 signalements pour additionalver.com. Ce chiffre décrit des signalements de chargement par les navigateurs, et non un nombre de boutiques infectées ou de livraisons de charges utiles confirmées.
En octobre 2026, l'opérateur est passé à deepveindrilling.com. Selon Sansec, ce domaine est protégé par Cloudflare et ne répond qu'aux requêtes émanant de scripts exécutés dans les navigateurs des visiteurs des boutiques infectées. Sur les 83 boutiques où Sansec a détecté ce loader, 60 hébergeaient déjà des versions antérieures.
Failles exploitées et accès persistants
Sansec indique que 471 boutiques Magento ont été infectées par le loader en mars via la vulnérabilité PolyShell, identifiée dans le rapport comme CVE-2026-48356. Le cabinet a aussi relevé plus de 100 boutiques contenant des fichiers téléversés via PolyShell ou SessionReaper, cette dernière identifiée comme CVE-2025-54236.
Ces constats montrent aussi pourquoi l'état des correctifs ne suffit pas à établir qu'une boutique est saine. Une boutique exploitant Magento 2.4.7-p10, sans correctif de cœur manquant, a reçu le loader deepveindrilling.com à 16 h 46 UTC le 23 octobre, une heure après un scan jugé propre. L'outil eComscan de Sansec avait auparavant détecté un compte administrateur non autorisé le 16 septembre, puis une porte dérobée GSocket le 24 septembre. Ces observations ne permettent pas d'établir comment l'injection d'octobre a eu lieu, mais elles attestent d'un accès non autorisé antérieur sur la même installation.
Les propriétaires de boutiques sont invités à inspecter leurs systèmes de gestion de contenu à la recherche de code de loader, et à vérifier leurs installations pour détecter des failles, des portes dérobées et des comptes administrateurs non autorisés. Les consignes de remédiation rapportées demandent également de nettoyer les installations, de changer tous les mots de passe et d'appliquer les derniers correctifs disponibles.
